Google teatas esimesed stabiilsed v\u00e4ljaanded komponentidest, mis moodustavad Sigstore projekti, mis on kuulutatud sobivaks t\u00f6\u00f6alaste rakenduste loomiseks. Sigstore arendab t\u00f6\u00f6riistu ja teenuseid tarkvara kontrollimiseks digitaalse allkirja abil ning avaliku logi pidamiseks, mis t\u00f5endab muudatuste autentsust (transparency log). Projekti arendab mittetulundus\u00fching Linux Foundation koos ettev\u00f5tetega Google, Red Hat, Cisco, vmWare, GitHub ja HP Enterprise ning kaasosalisteks on OpenSSF (Open Source Security Foundation) ja Purdue \u00fclikool. <\/p>\n
Sigstore v\u00f5ib pidada Let’s Encrypti analoogiks koodidele, pakkudes sertifikaate digitaalsete allkirjadega koodide kinnitamiseks ning t\u00f6\u00f6riistu automaatseks kontrollimiseks. Sigstore'i abil saavad arendajad luua digitaalseid allkirju rakenduse artefaktidele, nagu versioonifailid, konteineripildid, manifesid ja k\u00e4ivitatavad failid. Allkirjastamise materjal kajastub muudetud vormi kaitstud avalikus logis, mida saab kasutada kontrollimiseks ja auditi l\u00e4biviimiseks. <\/p>\n
Sigstore kasutab p\u00fcsivate v\u00f5tmete asemel l\u00fchiajalisi ephemeraalv\u00f5tmeid, mis genereeritakse OpenID Connecti pakkujate autentimise p\u00f5hjal (v\u00f5tmete genereerimise hetkel, mis on vajalikud digitaalse allkirja loomiseks, tuvastab arendaja end OpenID pakkuja kaudu seotuna e-posti aadressiga). V\u00f5tmete autentilisust kontrollitakse avaliku keskse logi kaudu, mis v\u00f5imaldab veenduda, et allkirja autor on t\u00f5epoolest see, kelleks ta end peab, ja allkiri on genereeritud sama osalise poolt, kes vastutas varasemate v\u00e4ljaannete eest. <\/p>\n
Sigstore'i kasutusele v\u00f5tmiseks on valmis kaks peamist komponenti \u2014 Rekor 1.0 ja Fulcio 1.0, mille programmiliideseid on kuulutatud stabiilseteks ja mis s\u00e4ilitavad tulevikus tagasip\u00f6\u00f6ratavuse. Teenuse komponendid on kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi alusel. <\/p>\n
Rekor komponent sisaldab logi teostust, et salvestada digitaalselt allkirjastatud metainfot projektide kohta. Andmete terviklikkuse tagamiseks ja nende muude osade moonutamise kaitsmiseks kasutatakse Merkle puu struktuuri, kus iga haru kinnitab k\u00f5iki alluvaid hargnemisi ning s\u00f5lmi koos koost\u00f6\u00f6l (puu vormingus) hashimisega. L\u00f5pliku hashi omamise korral saavad kasutajad veenduda k\u00f5igi tehingute ajaloo \u00f5igsuses ja varasemate andmebaasi olekute korrektsetes seisundites (uue andmebaasi juurekontrolli hash arvutatakse arvesse v\u00f5ttes eelmise oleku). Uute kirjete kinnitamiseks ja lisamiseks on saadaval RESTful API ja k\u00e4surealiides. <\/p>\n
Fulcio (SigStore WebPKI) komponent sisaldab s\u00fcsteemi sertifitseerimiskeskuste (root CA) loomiseks, mis v\u00e4ljastavad l\u00fchikese elueaga sertifikaate, mis p\u00f5hinevad e-posti aadressil, autentimise kaudu OpenID Connect. Sertifikaadi kehtivusaeg on 20 minutit, mille jooksul peab arendaja j\u00f5udma luua digitaalse allkirja (kui sertifikaat satub hiljem kurjategija k\u00e4tte, on see juba aegunud). T\u00e4iendavalt arendatakse projektis t\u00f6\u00f6riistu Cosign (Container Signing), mis on m\u00f5eldud konteinerite allkirjastamiseks, allkirjade kontrollimiseks ja allkirjastatud konteinerite paigutamiseks OCI (Open Container Initiative) koosk\u00f5las olevatesse registritesse. <\/p>\n
Sigstore'i rakendamine suurendab rakenduste levitamise kanalite turvalisust ning kaitseb raamatukogude ja s\u00f5ltuvuste vahetuse (supply chain) suunatud r\u00fcnnakute eest. \u00dcks avatud allikate turvalisuse peamisi probleeme on keerukus programmi p\u00e4ritolu kontrollimisel ja kogumisprotsessi verifitseerimisel. N\u00e4iteks kasutavad enamik projekte versiooni terviklikkuse kontrollimiseks r\u00e4siv\u00e4\u00e4rtusi, kuid sageli vajalik autentimisinformatsioon on talletatud kaitsmata s\u00fcsteemides ja avatud koodirepositorites, mille kompromiteerimise t\u00f5ttu saavad r\u00fcndajad asendada verifitseerimiseks vajalikud failid ning kahtlusi tekitamata sisestada kuritahtlikke muudatusi. <\/p>\n