Red Hat et Google ont présenté Sigstore, un service de vérification cryptographique du code

Les entreprises Red Hat et Google, en collaboration avec l'Université de Purdue, ont lancé le projet Sigstore, visant à créer des outils et des services pour la vérification des logiciels à l'aide de signatures numériques et la tenue d'un registre public pour confirmer l'authenticité (transparency log). Le projet sera développé sous l'égide de l'organisation à but non lucratif Linux Foundation.

Le projet proposé permettra d'améliorer la sécurité des canaux de distribution de logiciels et de se protéger contre les attaques visant à remplacer des composants et des dépendances logiciels (supply chain). L'une des principales préoccupations en matière de sécurité dans le logiciel libre est la complexité de la vérification de la source d'obtention du programme et de la vérification du processus de construction. Par exemple, pour vérifier l'intégrité d'une version, la plupart des projets utilisent des hachages, mais souvent les informations nécessaires à la vérification de l'authenticité sont stockées sur des systèmes non sécurisés et dans des dépôts de code publics, dont la compromission permet aux attaquants de remplacer les fichiers nécessaires à la vérification et d'introduire des modifications malveillantes sans éveiller les soupçons.

Seule une petite partie des projets utilise des signatures numériques lors de la distribution des versions en raison des difficultés de gestion des clés, de distribution des clés publiques et de révocation des clés compromises. Pour que la vérification ait un sens, il est également nécessaire d'organiser un processus fiable et sécurisé de distribution des clés publiques et des sommes de contrôle. Même en présence d'une signature numérique, de nombreux utilisateurs ignorent la vérification, car cela nécessite de passer du temps à comprendre le processus de vérification et à déterminer quelle clé mérite confiance.

Sigstore est présenté comme l'équivalent de Let's Encrypt pour le code, fournissant des certificats pour l'attestation du code numérique et des outils pour automatiser la vérification. Avec Sigstore, les développeurs peuvent créer des signatures numériques pour des artefacts liés à l'application, tels que des fichiers de version, des images de conteneurs, des manifestes et des exécutables. Une caractéristique de Sigstore est que le matériel utilisé pour la signature est reflété dans un journal public protégé contre les modifications, qui peut être utilisé pour la vérification et l'audit.

Au lieu de clés permanentes, Sigstore utilise des clés éphémères à courte durée de vie, générées sur la base d'autorisations confirmées par des fournisseurs OpenID Connect (lors de la génération des clés pour la signature numérique, le développeur s'identifie via le fournisseur OpenID en liant son email). L'authenticité des clés est vérifiée via un journal public centralisé, permettant ainsi de s'assurer que le signataire est bien celui qu'il prétend être et que la signature a été créée par le même participant qui a géré les versions précédentes.

Sigstore propose à la fois un service prêt à l'emploi et un ensemble d'outils permettant de déployer des services similaires sur son propre matériel. Le service est gratuit pour tous les développeurs et fournisseurs de logiciels, et est déployé sur une plateforme neutre — la Linux Foundation. Tous les composants du service sont ouverts, écrits en langage Go et distribués sous la licence Apache 2.0.

Parmi les composants en cours de développement, on peut noter :

• Rekor — une implémentation du journal pour le stockage des métadonnées certifiées par des signatures numériques, reflétant des informations sur les projets. Pour garantir l'intégrité et protéger contre la falsification des données a posteriori, une structure arborescente appelée "Arbre de Merkle" est utilisée, dans laquelle chaque branche vérifie toutes les branches et nœuds en dessous, grâce à un hachage conjoint (arborescent). Avec un hachage final, l'utilisateur peut s'assurer de l'exactitude de l'ensemble de l'historique des opérations, ainsi que de la justesse des états passés de la base de données (le hachage racine du nouvel état de la base est calculé en tenant compte de l'état précédent). Pour la vérification et l'ajout de nouvelles entrées, une API Restful ainsi qu'une interface cli sont fournies.
• Fulcio (SigStore WebPKI) est un système pour la création d'autorités de certification (Root-CA) qui délivrent des certificats à courte durée de vie basés sur l'e-mail, authentifiés via OpenID Connect. La durée de vie du certificat est de 20 minutes, durant lesquelles le développeur doit créer une signature numérique (si le certificat tombe entre les mains d'un attaquant par la suite, il sera déjà expiré).
• Cosign (Container Signing) est un outil pour générer des signatures pour des conteneurs, vérifier les signatures et héberger des conteneurs signés dans des dépôts compatibles avec l'OCI (Open Container Initiative).

Source : opennet.ru