Google teatas, et on loonud esimesed stabiilsed v\u00e4ljaanded Sigstore'i projekti komponente, mis on kuulutatud sobivaks t\u00f6\u00f6tavate rakenduste loomiseks. Sigstore arendab t\u00f6\u00f6riistu ja teenuseid tarkvara kontrollimiseks digitaalsete allkirjade abil ja avaliku logi pidamisega, mis t\u00f5endab muudatuste autentsust (transparency log). Projekt areneb Linux Foundationi mittetulundus\u00fchingu juhtimisel koos Google'i, Red Hati, Cisco, vmWare, GitHubi ja HP Enterprise'iga ning OpenSSF (Open Source Security Foundation) ja Purdue \u00fclikooli osalusel. <\/p>\n
Sigstore on nagu Let’s Encrypt koodi jaoks, pakkudes sertifikaate koodi allkirjastamiseks ja automatiseerimise t\u00f6\u00f6riistu kontrollimiseks. Sigstore'i abil saavad arendajad luua digitaalallkirju rakendusega seotud artefaktidele, nagu v\u00e4ljaandefailid, konteineripildid, manifestid ja k\u00e4ivitatavad failid. Allkirjastamise materjal kajastub muutmata avalikus logis, mida saab kasutada kontrollimiseks ja auditeerimiseks. <\/p>\n
Sigstore'is kasutatakse p\u00fcsivate v\u00f5tmete asemel l\u00fchiajalisi efemerseid v\u00f5tmeid, mis genereeritakse OpenID Connect pakkujate poolt kontrollitud volituste alusel (v\u00f5tmete genereerimise hetkel, mis on vajalikud digitaalallkirja loomiseks, tuvastab arendaja end OpenID pakkuja kaudu, sidudes selle e-posti aadressiga). V\u00f5tmete autentsust kontrollitakse avalikus tsentraliseeritud logis, mis v\u00f5imaldab veenduda, et allkirja autor on t\u00e4pselt see, kelleks ta end pretendeerib, ja allkiri on loodud sama osaleja poolt, kes vastutas varasemate v\u00e4ljaannete eest. <\/p>\n
Sigstore'i rakendamise valmisolek on tingitud kahe p\u00f5hikomponendi - Rekor 1.0 ja Fulcio 1.0 - v\u00e4ljaandmisest, mille API-d on v\u00e4ljakuulutatud stabiilseteks ning j\u00e4\u00e4vad edaspidi tagurpidi \u00fchilduvaks. Teenuse komponendid on kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi all. <\/p>\n
Komponent Rekor sisaldab logi teostust, et salvestada allkirjastatud metainfot, mis kajastab projektide teavet. Andmete terviklikkuse ja muude andmete v\u00e4\u00e4rastamise kaitse tagamiseks on kasutusel puustruktuur \u201eMerklipuu\u201d (Merkle Tree), kus iga haru kinnitab k\u00f5iki alluvaid kasutades koost\u00f6isel (puust) hash'imist. Omades l\u00f5plikku hash'i, saab kasutaja veenduda kogu operatsioonide ajaloos ja andmebaasi varasemates seisundites (uue seisundi juureh hash arvutatakse arvesse v\u00f5ttes mineviku seisundit). Uute kirjeid saab valideerida ja lisada RESTful API ja k\u00e4surea liidese kaudu. <\/p>\n
Fulcio komponent (SigStore WebPKI) h\u00f5lmab s\u00fcsteemi, mis loob tunnustuskeskusi (root CA), mis v\u00e4ljastavad l\u00fchiajalisi sertifikaate e-posti alusel, mida autentitakse OpenID Connect kaudu. Sertifikaadi kehtivusaeg on 20 minutit, mille jooksul peab arendaja j\u00f5udma vormistada digitaalse allkirja (kui sertifikaat satub hiljem pahatahtlike k\u00e4tte, on see juba aegunud). Lisaks arendab projekt t\u00f6\u00f6riistu Cosign (Container Signing), mis on m\u00f5eldud konteinerite allkirjastamiseks, allkirjade kontrollimiseks ja allkirjastatud konteinerite paigutamiseks OCI (Open Container Initiative) \u00fchilduvatesse registritesse. <\/p>\n
Sigstore'i rakendamine v\u00f5imaldab suurendada tarkvara levitamise kanalite turvalisust ja kaitsta end r\u00fcnnakute eest, mis on suunatud teekide ja s\u00f5ltuvuste asendamisele (supply chain). \u00dcks peamisi turbeprobleeme avatud tarkvaras on keerukus programmi allika kontrollimisel ja koostamise protsessi kinnitamisel. N\u00e4iteks kasutavad enamik projekte versiooni terviklikkuse kontrollimiseks harschisid, kuid sageli vajalikud autenticiteedi kinnitusandmed on salvestatud kaitsmata s\u00fcsteemides ja avatud koodiregistrites, mille hoidmine on r\u00fcnnakute korral kompromiteeritud, v\u00f5imaldades r\u00fcndajatel asendada vajalikud faili ja, mitte kahtlusi \u00e4ratamata, sisestada pahatahtlikke muudatusi. <\/p>\n