Annoncé la disponibilité du système de vérification cryptographique du code Sigstore

Google a annoncé la création des premières versions stables des composants qui constituent le projet Sigstore, qui a été déclaré prêt pour des déploiements opérationnels. Sigstore développe des outils et des services pour la vérification des logiciels à l'aide de signatures numériques et d'un registre public qui confirme l'authenticité des modifications (transparency log). Le projet est porté par la Linux Foundation et des entreprises telles que Google, Red Hat, Cisco, VMware, GitHub et HP Enterprise, avec la participation de l'organisation OpenSSF (Open Source Security Foundation) et de l'université Purdue.

Sigstore peut être considéré comme l'équivalent de Let's Encrypt pour le code, fournissant des certificats pour attester du code avec des signatures numériques et des outils pour automatiser la vérification. Grâce à Sigstore, les développeurs pourront créer des signatures numériques pour les artefacts liés à l'application, tels que les fichiers de version, les images de conteneurs, les manifestes et les fichiers exécutables. Le matériel utilisé pour la signature est reflété dans un registre public protégé contre les modifications, qui peut être utilisé pour la vérification et l'audit.

Au lieu de clés permanentes, Sigstore utilise des clés éphémères à courte durée de vie, qui sont générées sur la base d'habilitations vérifiées par des fournisseurs OpenID Connect (lors de la génération des clés nécessaires à la création de la signature numérique, le développeur s'identifie via le fournisseur OpenID en associant son adresse email). L'authenticité des clés est vérifiée par un registre public centralisé, qui permet de s'assurer que l'auteur de la signature est bien celui qu'il prétend être, et que la signature a été créée par le même participant qui a géré les versions précédentes.

La préparation de Sigstore pour le déploiement est conditionnée par la sortie de deux composants clés - Rekor 1.0 et Fulcio 1.0, dont les interfaces de programmation ont été déclarées stables et resteront compatibles avec les versions antérieures. Les composants du service sont écrits en Go et distribués sous la licence Apache 2.0.

Le composant Rekor contient une mise en œuvre d'un registre pour stocker des métadonnées certifiées par des signatures numériques, reflétant les informations sur les projets. Pour assurer l'intégrité et la protection contre la falsification des données a posteriori, une structure arborescente, appelée « arbre de Merkle » (Merkle Tree), est utilisée, dans laquelle chaque branche vérifie toutes les branches et nœuds inférieurs grâce à un hachage partagé (arborescent). Avec un hachage final, l'utilisateur peut s'assurer de la validité de l'historique des opérations, ainsi que de la véracité des états passés de la base de données (le hachage racine vérifiant le nouvel état de la base est calculé en tenant compte de l'état passé). Pour la vérification et l'ajout de nouvelles entrées, une API RESTful est fournie, ainsi qu'une interface en ligne de commande.

Le composant Fulcio (SigStore WebPKI) inclut un système permettant de créer des autorités de certification (root CA) délivrant des certificats à courte durée de vie basés sur l'email, authentifié via OpenID Connect. La durée de vie du certificat est de 20 minutes, au cours desquelles le développeur doit réussir à générer une signature numérique (si par la suite le certificat tombe entre de mauvaises mains, il sera déjà expiré). De plus, le projet développe un outil nommé Cosign (Container Signing), destiné à générer des signatures pour des conteneurs, vérifier les signatures et stocker les conteneurs signés dans des dépôts compatibles avec OCI (Open Container Initiative).

L'intégration de Sigstore permet d'améliorer la sécurité des canaux de distribution des logiciels et de se protéger contre les attaques visant à substituer des bibliothèques et des dépendances (supply chain). L'un des problèmes de sécurité majeurs dans les logiciels open source est la difficulté à vérifier l'origine d'un programme et à valider le processus de construction. Par exemple, pour vérifier l'intégrité d'une version, la majorité des projets utilisent des hachages, mais souvent, les informations nécessaires à la vérification de l'authenticité sont stockées sur des systèmes non sécurisés et dans des dépôts de code publics, dont la compromission permet aux attaquants de substituer les fichiers nécessaires à la vérification et, sans éveiller de soupçons, d'introduire des modifications malveillantes.

L'utilisation de signatures numériques pour la vérification des publications n'est pas encore largement répandue en raison des difficultés liées à la gestion des clés, à la distribution des clés publiques et au retrait des clés compromises. Pour que la vérification ait un sens, il est également nécessaire d'organiser un processus fiable et sécurisé de distribution des clés publiques et des sommes de contrôle. Même avec une signature numérique, de nombreux utilisateurs négligent la vérification, car il faut consacrer du temps à comprendre le processus de vérification et à déterminer quelle clé mérite d'être considérée comme fiable. Le projet Sigstore tente de simplifier et d'automatiser ces processus en fournissant une solution prête à l'emploi et vérifiée.

Source : opennet.ru