{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat ja Google tutvustasid Sigstore'i, teenust kodeerimise kr\u00fcptograafiliseks verifitseerimiseks.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ettev\u00f5tted Red Hat ja Google, koost\u00f6\u00f6s Purdue \u00fclikooliga, asutasid projekti Sigstore, mille eesm\u00e4rk on luua t\u00f6\u00f6riistu ja teenuseid tarkvara verifitseerimiseks digitaalsete allkirjade abil ning avaliku logi loomine autentsuse kinnitamiseks (transparency log). Projekt areneb Linux Foundationi mittetulundus\u00fchingu juhtimisel. <\/p>\n

Eeldatav projekt suurendab tarkvara levitamise kanalite turvalisust ja kaitseb r\u00fcnnakute eest, mis on suunatud tarkvarakomponentide ja s\u00f5ltuvuste asendamisele (supply chain). \u00dcks peamisi probleemide allikaid avatud tarkvaras on programmi saamise allika ja ehitamisprotsessi verifitseerimise keerukus. N\u00e4iteks kasutavad enamik projekte v\u00e4ljaande terviklikkuse kontrollimiseks r\u00e4si, kuid tihti hoitakse autentsuse kinnitamiseks vajalik teave kaitsetutes s\u00fcsteemides ja avatud koodirepos, mille kompromiteerimise korral saavad r\u00fcndajad vajalikud verifitseerimise failid vahetada ja halva usaldusega muudatusi sisse viia. <\/p>\n

V\u00e4hem kui v\u00e4ike osa projekte kasutab digitaalallkirju v\u00e4ljaannete levitamisel, kuna v\u00f5tmete haldamine, avatud v\u00f5tmete levitamine ja kompromiteeritud v\u00f5tmete t\u00fchistamine on keerulised. T\u00f5husaks verifitseerimiseks tuleb samuti korraldada usaldusv\u00e4\u00e4rne ja turvaline avatud v\u00f5tmete ja kontrollsummade levitamise protsess. isegi digitaalse allkirja olemasolul ignoreerivad paljud kasutajad kontrollimise, kuna nad peavad aega kulutama verifitseerimisprotsessi \u00f5ppimisele ja m\u00f5istma, milline v\u00f5ti on usaldusv\u00e4\u00e4rne. <\/p>\n

Sigstore esitleb ennast kui Let's Encrypti analooge koodile, pakkudes sertifikaate koodi allkirjastamiseks digitaalsete allkirjadega ning automatiseerimise t\u00f6\u00f6riistu kontrollimiseks. Sigstore'i abil saavad arendajad luua digitaalseid allkirju rakendusega seotud artefaktidele, nagu versioonifailid, konteinerite pildid, manustatud failid ja k\u00e4ivitatavad failid. Sigstore'i erip\u00e4ra on see, et allkirjastamise materjal kajastub muutmiskindlas avalikus logis, mida saab kasutada kontrollimiseks ja auditeerimiseks. <\/p>\n

Sigstore's kasutatakse p\u00fcsivate v\u00f5tmete asemel l\u00fchiajalisi ajutisi v\u00f5tmeid, mis genereeritakse OpenID Connect pakkujate kinnitatud volituste alusel (v\u00f5tmete genereerimise ajal tuvastab arendaja end OpenID pakkuja kaudu, sidudes selle e-posti aadressiga). V\u00f5tmete autentsus kontrollitakse avaliku keskse logi kaudu, mis v\u00f5imaldab veenduda, et allkirja autor on t\u00f5epoolest see, kes ta v\u00e4idab end olevat ja allkiri on genereeritud sama osaleja poolt, kes vastutas varasemate vabastuste eest. <\/p>\n

Sigstore pakub nii valmisteenust, mida saab kohe kasutada, kui ka t\u00f6\u00f6riistade komplekti, mis v\u00f5imaldab sarnaste teenuste kasutuselev\u00f5ttu oma seadmetel. Teenus on tasuta k\u00f5igile arendajatele ja tarkvaratootjatele, ning see on loodud neutraalses keskkonnas \u2014 Linux Foundationis. Teenuse k\u00f5ik komponendid on avatud, kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi alusel. <\/p>\n

Arendatavate komponentide hulgas v\u00f5ib mainida: <\/p>\n