GitHub on esitanud aruteluks ettepaneku rakendada Sigstore'i teenust digitaalsete allkirjade kaudu pakettide valideerimiseks ning avaliku logi pidamiseks autentsuse kinnitamiseks vĂ€ljaannete levitamisel. Sigstore'i rakendamine vĂ”imaldab luua tĂ€iendava kaitsekiht rĂŒnnakute vastu, mille eesmĂ€rk on tarkvarakomponentide ja sĂ”ltuvuste asendamine (supply chain). NĂ€iteks kaitseb kavandatav muudatus projekti lĂ€htekoodi, kui mĂ”ne NPM sĂ”ltuvuse arendaja konto on kompromiteeritud ning rĂŒndaja koostab pahavara koodiga paketi vĂ€rskenduse.
Uue kaitsetaseme tĂ”ttu saavad arendajad siduda loodud paketi kasutatud lĂ€htekoodi ja ehituskeskkonnaga, vĂ”imaldades kasutajal veenduda, et paketi sisu vastab projekti peamises repos olevate lĂ€htekoodide sisule. Sigstore'i kasutamine lihtsustab oluliselt vĂ”tmete haldamise protsessi ja vabastab keerukusest, mis on seotud krĂŒptograafiliste vĂ”tmete registreerimise, tĂŒhistamise ja haldamisega. Sigstore esitatakse kui Letâs Encrypti analoog koodi jaoks, pakkudes sertifikaate koodi digitaalsel allkirjastamisel ja tööriistu valideerimise automatiseerimiseks.
Sigstore'is kasutatakse pĂŒsivate vĂ”tmete asemel lĂŒhiajalisi efemeerseid vĂ”tmeid, mis genereeritakse volituste pĂ”hjal. Allkirjastamiseks kasutatud materjal kajastub muutumatud avalikus logis, mis vĂ”imaldab veenduda, et allkirja autor on tĂ”eliselt see isik, kelleks ta end peab, ja allkiri on loodud sama osalise poolt, kes vastutas varasemate vĂ€ljaannete eest. Andmete terviklikkuse ja tagasisuunamise kaitseks rakendatakse puustruktuuri 'Merkle puu', milles iga haru valideerib kĂ”ik alluvad haru ja sĂ”lmed ĂŒhiselt (puustruktuuri) hashimise kaudu. LĂ”plikku hash'i omades saab kasutaja kinnitada kogu tegevuste ajaloo Ă”igsust ning samuti varasemate andmebaasi seisude korrektset seisu (uue andmebaasi juurekontrolli hash arvestatakse eelmise seisuga).
Allikas: opennet.ru
