Linux Foundation, BastionZero ja Docker esitlesid uut avatud projekti OpenPubKey, mis arendab v\u00e4lja sama nime kandnud kr\u00fcptograafilise protokolli, et t\u00f5endada digitaalset allkirja mis tahes objektide puhul. Tehnoloogia on v\u00e4lja t\u00f6\u00f6tatud BastionZero ja Dockeri ettev\u00f5tete koost\u00f6\u00f6projektina, et lihtsustada digitaalsete allkirjade t\u00f5endamist Docker konteineripiltidel, v\u00e4ltides nende manipulatsiooni ja kinnitades koostamise n\u00f5utava autori poolt. Projekt areneb neutraalses keskkonnas Linux Foundationi kaitse all, mis v\u00e4listab s\u00f5ltuvuse \u00fcksikutest kommertsettev\u00f5tetest ja lihtsustab koost\u00f6\u00f6d teiste osaliste kaasamisel. OpenPubKey p\u00f5hiimplementatsioon on kirjutatud Go keeles ja selle levitamine toimub Apache 2.0 litsentsi alusel. <\/p>\n
OpenPubKey'i v\u00f5imalused ei piirdu ainult konteineripiltidega; tehnoloogiat saab rakendada mis tahes ressursi allika t\u00f5endamiseks, s\u00f5ltuvuste vahetamise v\u00e4ltimiseks ja andmekogumite levikanalite turvalisuse suurendamiseks. N\u00e4iteks on tehnoloogia rakendatav programmide kogumite, \u00fcksikute teadete ja commitide allkirjastamiseks. Allkirjade loojatel on piisav, et neil oleks konto OpenID toetavas teenuses, samas kui tarbijatel on v\u00f5imalus kinnitada lisatud allkirju ja kontrollida nende seotust v\u00e4idetava OpenID identifikaatoriga. <\/p>\n
Eesm\u00e4rgilt sarnaneb OpenPubKey Google'is loodud ja hiljem Linux Foundation'ile edastatud Sigstore s\u00fcsteemiga, kuid erineb sellest oluliselt lihtsustatud rakendamise, kasutamise ja hooldamise poolest, vabastades tsentraliseeritud serverikomponentidest, mis vastutavad avaliku tegevuslogi (transparency log) pidamise eest, mis kinnitab muudatuste autentsust, ja sertifitseerimisteenuste (Certificate Authority) toimimise tagamise eest. <\/p>\n
OpenPubKey kasutab autentimist OpenID tehnoloogia abil, mitte eraldi v\u00e4ljastatud tunnistuste keskuste loomist, ning seob loodud allkirjad olemasolevate OpenID Connect pakkujatega. Teisis\u00f5nu, OpenPubKey v\u00f5imaldab siduda kr\u00fcptograafilised v\u00f5tmed konkreetsete kasutajatega, kasutades OpenID Connect pakkujad (IdP), mitte tunnistuste keskusi. Tehnoloogia on t\u00e4ielikult \u00fchilduv olemasolevate OpenID pakkujatega, nagu GitHub, Azure\/Microsoft, Okta, OneLogin, Keycloak ja Google, ning ei n\u00f5ua nende poolt muudatusi (kasutatakse pakkuja poolt antud standardset ID Tokenit, mis v\u00f5imaldab OpenPubKeyd rakendada vaid OpenID Connect klientide poole muudatustega). <\/p>\n
OpenID teenuselt v\u00e4lja antud token muudetakse sertifikaadiks, mis kr\u00fcptograafiliselt sidub OpenID Connecti identifikaatori avaliku v\u00f5tmega. Seej\u00e4rel kasutab kasutaja genereeritud v\u00f5tit andmete allkirjastamiseks, mille allkirju saab hiljem kontrollida seose osas OpenID Connecti identifikaatoriga. OpenPubKey-s kasutatakse efemeerseid v\u00f5tmeid, mille eluiga on piiratud \u2014 v\u00f5tmed genereeritakse sisselogimise ajal OpenID kaudu ja kustutatakse OpenID teenusepakkujaga sessiooni l\u00f5puleviimisel. <\/p>\n
Umbkaudne allkirjastamise loomise algoritm OpenPubKey'i kasutamisega: <\/p>\n
Verifitseerimine t\u00e4hendab kontrollimist, kas manustatud token on OpenID pakkuja poolt allkirjastatud, ja digitaalallkirja kehtivuse kontrollimist ressursi suhtes avatud v\u00f5tme abil. See v\u00f5imaldab veenduda, et ressurss on allkirjastatud sertifikaadi identifikaatoriga ning seda on kinnitatud OpenID pakkuja allkirjaga. N\u00e4iteks v\u00f5ib allkirja loonud isik saada Google'i OpenID pakkuja poolt allkirjastatud tokeni, mis sisaldab teavet selle kohta, et ta on kinnitatud kui bob@gmail.com ja kasutab avatud v\u00f5tit 0x54A5\u2026FF. Edasi, kui sama v\u00f5tmega allkirjastatud s\u00f5num saadakse, v\u00f5ib saatja kasutada allkirjastatud tokenit, et kinnitada, et v\u00f5ti bob@gmail.com \u2014 0x54A5\u2026FF ja s\u00f5num on t\u00f5epoolest allkirjastatud bob@gmail.com-i poolt. <\/p>\n
Arhitektuuri lihtsustamine on saavutatud teatud kompromisside kaudu (n\u00e4iteks s\u00f5ltuvus v\u00e4listest OpenID pakkujatest ja muudatuste logi puudumine hierarhilise r\u00e4si loomisega), mis m\u00f5nes olukorras on vastuv\u00f5etavad, teises aga mitte. S\u00f5ltuvuse v\u00e4hendamiseks OpenID pakkujatest, kelle kompromiteerimine v\u00f5i t\u00f6\u00f6tajate tegevus v\u00f5ivad s\u00fcsteemi diskrediteerida (n\u00e4iteks v\u00f5ib h\u00e4kkimine tekitada vale v\u00f5tme kolmandale osapoolele), soovitatakse kasutada t\u00e4iendavat, kuid mitte kohustuslikku, MFA-Cosigner (mitme teguri autentimise kaasosalise) taset, kus autentimine peab olema allkirjastatud mitte ainult p\u00f5hipakkuja, vaid ka s\u00f5ltumatu autentimisteenuse poolt, mis kinnitab kasutajat. <\/p>\n