{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat ja Google tutvustasid Sigstore'i, teenust koodide kr\u00fcptograafiliseks kontrollimiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Red Hat ja Google, koos Purdue \u00dclikooliga, asutasid projekti Sigstore, mille eesm\u00e4rk on luua t\u00f6\u00f6riistu ja teenuseid tarkvara autentimise tagamiseks digitaalsete allkirjade kaudu ning avaliku logi pidamiseks autentsuse kinnitamiseks (transparency log). Projekt areneb mittetulundus\u00fchingu Linux Foundation toetusel. <\/p>\n

Pakutav projekt t\u00f5stab tarkvara levitamise kanalite turvalisust ja kaitseb r\u00fcnnakute eest, mis on suunatud tarkvarakomponentide ja s\u00f5ltuvuste petmisele (supply chain). \u00dcks peamisi probleemide kohta avatud l\u00e4htekoodiga tarkvara turvalisusega on programmide allika ja ehitamise kontrollimise keerukus. N\u00e4iteks kasutavad enamik projekte v\u00e4ljaande terviklikkuse kontrollimiseks r\u00e4sikoodide (hash) s\u00fcsteemi, kuid sageli talletatakse vajalikud autentimise kontrollimisandmed kaitsmata s\u00fcsteemides ja \u00fchistes koodirepositooriumides. Nende kompromiteerimise korral v\u00f5ivad r\u00fcndajad vajalikud kontrollimiseks m\u00f5eldud failid asendada ja kahtlusi tekitamata pahatahtlikke muudatusi sisse viia. <\/p>\n

Ainult v\u00e4ike osa projektidest kasutab v\u00e4ljalaskmise ajal digitaalallkirju, kuna v\u00f5tmete haldamine, avalike v\u00f5tmete jagamine ja kompromiteeritud v\u00f5tmete tagasiv\u00f5tmine on keeruline. Verifitseerimise t\u00e4henduslikuks muutmiseks on samuti vajalik korraldada usaldusv\u00e4\u00e4rne ja turvaline avalike v\u00f5tmete ja kontrollsummade levitusprotsess. Isegi digitaalallkirjade olemasolu korral ignoreerivad paljud kasutajad kontrollimist, kuna verifitseerimisprotsessiga tutvumiseks ja usaldusv\u00e4\u00e4rse v\u00f5tme leidmiseks on aega kulutada. <\/p>\n

Sigstore on esitatav kui Let’s Encrypti analoog koodile, pakkudes sertifikaate koodi digitaalse allkirjastamise ja kontrollimise automatiseerimise jaoks. Sigstore abil saavad arendajad luua digitaalallkirju rakendusega seotud artefaktidele, nagu v\u00e4ljalaskefailid, konteineri pildid, manused ja t\u00e4idetavad failid. Sigstore'i erip\u00e4ra on see, et allkirjastamisprotsess kajastatakse muutmisvastases avalikus logis, mida saab kasutada kontrollimiseks ja auditiks. <\/p>\n

Sigstore'is ei kasutata p\u00fcsivaid v\u00f5tmeid, vaid l\u00fchiajalisi efemerid, mis genereeritakse p\u00f5hinedes OpenID Connect pakkujate poolt kinnitatud volitustele (v\u00f5tmete genereerimise hetkel tuvastab arendaja end OpenID pakkuja kaudu, sidudes oma meiliaadressiga). V\u00f5tmete autentimist kontrollitakse avalikus tsentraliseeritud logis, mis v\u00f5imaldab veenduda, et allkirja autor on t\u00f5epoolest see, kelleks ta end peab, ja et allkiri on loodud samas osales, kes vastutas varasemate v\u00e4ljaannete eest. <\/p>\n

Sigstore pakub nii valmis teenust, mida on juba v\u00f5imalik kasutada, kui ka t\u00f6\u00f6riistade komplekti, mis v\u00f5imaldab sarnaste teenuste seadistamist oma riistvaral. Teenus on tasuta k\u00f5igile arendajatele ja tarkvaratootjatele ning on vastuolus neutraalse platvormiga \u2014 Linux Foundationiga. K\u00f5ik teenuse komponendid on avatud, kirjutatud Go keeles ja levitatakse Apache 2.0 litsentsi all. <\/p>\n

Arendatavaid komponente saab nimetada: <\/p>\n