Dans NPM, l'utilisation de Sigstore est prévue pour la validation d'authenticité des paquets.

GitHub a proposé de discuter de l'implémentation du service Sigstore pour la vérification des paquets par signatures numériques et la tenue d'un registre public pour confirmer l'authenticité lors de la diffusion des versions. L'application de Sigstore permettra de réaliser un niveau de protection supplémentaire contre les attaques visant à substituer des composants et des dépendances logiciels (supply chain). Par exemple, cette modification apportera une protection aux codes sources des projets en cas de compromission du compte développeur d'une des dépendances dans NPM, permettant à un attaquant de créer une mise à jour de paquet avec un code malveillant.

Grâce à ce nouveau niveau de protection, les développeurs pourront lier le paquet formé au code source utilisé et à l'environnement de construction, permettant ainsi à l'utilisateur de s'assurer que le contenu du paquet correspond au contenu des codes sources dans le dépôt principal du projet. L'utilisation de Sigstore simplifie considérablement le processus de gestion des clés et élimine les complexités liées à l'enregistrement, au rappel et à la gestion des clés cryptographiques. Sigstore est présenté comme un équivalent de Let’s Encrypt pour le code, fournissant des certificats pour la certification du code par des signatures numériques et des outils pour automatiser la vérification.

Au lieu de clés permanentes, Sigstore utilise des clés éphémères à durée de vie courte, qui sont générées sur la base des autorisations. Le matériel utilisé pour la signature est enregistré dans un registre public protégé contre toute modification, permettant de s'assurer que l'auteur de la signature est bien celui qu'il prétend être, et que la signature a été générée par le même participant responsable des versions précédentes. Pour garantir l'intégrité et se protéger contre la falsification des données rétroactivement, une structure arborescente appelée « arbre de Merkle » est utilisée, dans laquelle chaque branche vérifie toutes les branches et nœuds sous-jacents grâce à un hachage conjoint en arbre. En disposant d'un hachage final, l'utilisateur peut vérifier l'exactitude de l'ensemble de l'historique des opérations, ainsi que la véracité des états précédents de la base de données (le hachage de contrôle racine du nouvel état de la base est calculé en tenant compte de l'état antérieur).

Source : opennet.ru