Linux Foundation, BastionZero ja Docker esitlesid uut avatud projekti OpenPubKey, mis arendab sama nime kandvat kr\u00fcptograafilist protokolli, et kinnitada digiallkirjadega suvalisi objekte. Tehnoloogia on v\u00e4lja t\u00f6\u00f6tatud koost\u00f6\u00f6projektina ettev\u00f5tete BastionZero ja Docker vahel, et lihtsustada Docker'i konteineripiltide digiallkirjadega kinnitamist, v\u00e4ltides nende vahetamist ja kinnitades, et pildi koostas nimetatud autor. Projekt areneb neutraalses keskkonnas Linux Foundationi toetusel, mis v\u00e4listab s\u00f5ltuvuse \u00fcksikutest kaubanduslikest ettev\u00f5tetest ja lihtsustab koost\u00f6\u00f6d kolmandate osaliste kaasamisega. OpenPubKey viidatud rakendus on kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi alusel. <\/p>\n
OpenPubKey v\u00f5imalused ei piirdu ainult konteineripiltidega ning tehnoloogiat saab kasutada igasuguste ressursside p\u00e4ritolu kinnitamiseks, s\u00f5ltuvuste vahetamise v\u00e4ltimiseks ja andmefluxi turvalisuse suurendamiseks. N\u00e4iteks on tehnoloogia rakendatav programmide versioonide, \u00fcksikteadete ja commitide kinnitamiseks. Allkiri loojatel peab olema piisavalt konto teenuses, mis toetab OpenID-d, ning tarbijatele antakse v\u00f5imalus kinnitatud allkirjade kontrollimiseks ja nende seose t\u00f5endamiseks nimelise OpenID-ga. <\/p>\n
Oma otstarbelt sarnaneb OpenPubKey Google'is loodud ning hiljem Linux Foundationile \u00fcle antud s\u00fcsteemiga Sigstore, kuid eristub sellest m\u00e4rkimisv\u00e4\u00e4rse lihtsustamisega rakendamisel, kasutamisel ja hooldamisel, eemaldades tsentraliseeritud serverikomponendid, mis hooldavad avalikku logi, mis t\u00f5endab muudatuste autentsust (transparency log) ja tagavad tunnustuskeskuste (Certificate Authority) t\u00f6\u00f6. <\/p>\n
OpenPubKey ei kasuta enesetunnustamiseks OpenID-tehnoloogiat ning seondub loodud allkiri olemasolevate OpenID Connect pakkujatega. Teisis\u00f5nu, OpenPubKey v\u00f5imaldab siduda kr\u00fcptograafilisi v\u00f5tmeid konkreetsete kasutajatega, kasutades OpenID Connect pakkujat (IdP) usalduspunktide asemel. Tehnoloogia on t\u00e4iesti \u00fchilduv olemasolevate OpenID pakkujatega, nagu GitHub, Azure\/Microsoft, Okta, OneLogin, Keycloak ja Google, ning ei n\u00f5ua nende poole muudatusi (kasutatakse pakkuja poolt esitatud standardset ID-tokenit, mis v\u00f5imaldab OpenPubKey rakendamist ainult OpenID Connect kliendi poole muudatustega). <\/p>\n
OpenID pakkuja antud token muudetakse sertifikaadiks, mis seob OpenID Connectis identifikaatori kr\u00fcptograafiliselt avaliku v\u00f5tmega. Edasi kasutab kasutaja genereeritud v\u00f5tme allkirjastamiseks mis tahes andmeid ning neid allkirju saab hiljem kontrollida seose osas OpenID Connectis identifikaatoriga. OpenPubKey-s kasutatakse ajutisi v\u00f5tit, mille eluaeg on piiratud \u2014 v\u00f5tmed genereeritakse sisenemise ajal OpenID kaudu ja kustutatakse sessiooni l\u00f5ppedes OpenID pakkujaga. <\/p>\n
Umbes OpenPubKey allkirja loomise algoritm: <\/p>\n
Verifitseerimine seisneb selles, et kontrollitakse, kas k\u00fclge kinnitatud token on allkirjastatud OpenID pakkuja poolt, ning kontrollitakse digitaalallkirja \u00f5igust resursile, kasutades avalikku v\u00f5tit, mis v\u00f5imaldab veenduda, et ressurss on allkirjastatud sertifikaadist p\u00e4rineva identifikaatori abil ja et seda on kinnitanud OpenID pakkuja allkiri. N\u00e4iteks v\u00f5ib allkirja genereerija saada Google'i poolt allkirjastatud OpenID tokeni teabega, et ta on verifitseeritud kui bob@gmail.com ja kasutab avalikku v\u00f5tit 0x54A5\u2026FF. Edasi saab samasuguste v\u00f5tmega allkirjastatud s\u00f5numi saamisel allkirjastatud pakkuja tokenit kasutada selle kinnitamiseks, et v\u00f5ti bob@gmail.com \u2014 0x54A5\u2026FF ja s\u00f5numi allkirjastas t\u00f5epoolest bob@gmail.com. <\/p>\n
Arhitektuuri lihtsustamine on saavutatud teatud kompromisside kaudu (n\u00e4iteks s\u00f5ltuvus v\u00e4lisest OpenID pakkujast ja muudatuste logi puudumine hierarhilise hashimisega), mis m\u00f5nes olukorras v\u00f5ib olla vastuv\u00f5etav, teises aga mitte. OpenID pakkujatest s\u00f5ltuvuse v\u00e4hendamiseks, kus kompromiteerimine v\u00f5i personali teod v\u00f5ivad s\u00fcsteemi diskrediteerida (n\u00e4iteks h\u00e4kker, kes on r\u00fcnnanud pakkujat ja andnud vale v\u00f5tme kolmandale osapoolele), pakutakse kasutada t\u00e4iendavat, kuid mitte kohustuslikku elementi MFA-Cosigner (Mitmefaktoriline autentimise kaasosalija), et saavutada mitmefaktoriline autentimine (token peab olema allkirjastatud mitte ainult peamise pakkuja, vaid ka s\u00f5ltumatu autentimisteenuse poolt, mis kinnitab kasutajat). <\/p>\n