Le système de vérification de code cryptographique Sigstore est prêt

Google a annoncé les premières versions stables des composants du projet Sigstore, désormais prêt pour un déploiement en production. Sigstore développe des outils et des services de vérification logicielle utilisant des signatures numériques et la tenue d'un journal public attestant de l'authenticité des modifications (journal de transparence). Ce projet est développé sous l'égide d'une organisation à but non lucratif. Linux Fondée par Google, Red Hat, Cisco, vmWare, GitHub et HP Enterprise, avec la participation de l'Open Source Security Foundation (OpenSSF) et de l'Université Purdue.

Sigstore peut être considéré comme un Let's Encrypt pour le code, fournissant des certificats pour la signature numérique du code et des outils de vérification automatisée. Grâce à Sigstore, les développeurs peuvent générer des signatures numériques pour les artefacts liés aux applications, tels que les fichiers de version, les images de conteneur, les manifestes et les exécutables. Les données de signature sont enregistrées dans un journal public inviolable, utilisable à des fins de vérification et d'audit.

Au lieu de clés permanentes, Sigstore utilise des clés éphémères à durée de vie limitée, générées à partir d'identifiants vérifiés par les fournisseurs OpenID Connect (lors de la génération des clés nécessaires à la création d'une signature numérique, le développeur s'authentifie via un fournisseur OpenID associé à une adresse e-mail). L'authenticité des clés est vérifiée par un journal public et centralisé, ce qui garantit que l'auteur de la signature est bien celui qu'il prétend être et que la signature a été générée par le même participant responsable des versions précédentes.

La préparation de Sigstore à la mise en œuvre repose sur la publication de deux composants clés : Rekor 1.0 et Fulcio 1.0, dont les API ont été déclarées stables et resteront rétrocompatibles. Ces composants de service sont écrits en Go et distribués sous licence Apache 2.0.

Le composant Rekor intègre une implémentation de journal pour le stockage de métadonnées signées numériquement reflétant les informations du projet. Afin de garantir l'intégrité des données et la protection contre toute corruption rétroactive, une structure arborescente de Merkle est utilisée. Chaque branche vérifie toutes les branches et tous les nœuds sous-jacents grâce à un hachage partagé (de type arborescence). Grâce au hachage final, l'utilisateur peut vérifier l'exactitude de l'historique des transactions, ainsi que celle des états antérieurs de la base de données (le hachage de vérification racine du nouvel état de la base de données est calculé en tenant compte de l'état précédent). Une API RESTful et une interface en ligne de commande sont fournies pour la vérification et l'ajout de nouveaux enregistrements.

Le composant Fulcio (SigStore WebPKI) inclut un système de création d'autorités de certification (AC racine) qui émettent des certificats éphémères basés sur des adresses e-mail authentifiées via OpenID Connect. Le certificat a une durée de vie de 20 minutes, pendant laquelle le développeur doit générer une signature numérique (si le certificat tombe entre les mains d'un attaquant, il expirera). Le projet développe également la boîte à outils Cosign (Container Signing), conçue pour générer des signatures de conteneurs, vérifier les signatures et placer les conteneurs signés dans des référentiels conformes à l'OCI (Open Container Initiative).

La mise en œuvre de Sigstore améliore la sécurité des canaux de distribution de logiciels et protège contre les attaques visant à remplacer les bibliothèques et les dépendances (chaîne d'approvisionnement). L'un des principaux défis de sécurité des logiciels open source réside dans la difficulté de vérifier la source du programme et le processus de compilation. Par exemple, la plupart des projets utilisent des hachages pour vérifier l'intégrité d'une version, mais les informations nécessaires à l'authentification sont souvent stockées sur des systèmes non protégés et dans des dépôts de code partagés. En les compromettant, les attaquants peuvent remplacer les fichiers nécessaires à la vérification et introduire des modifications malveillantes sans éveiller les soupçons.

L'utilisation des signatures numériques pour la vérification des versions n'est pas encore généralisée en raison de la complexité de la gestion des clés, de la distribution des clés publiques et de la révocation des clés compromises. Pour que la vérification soit pertinente, un processus fiable et sécurisé de distribution des clés publiques et des sommes de contrôle est également nécessaire. Même avec une signature numérique, de nombreux utilisateurs négligent la vérification, car il faut du temps pour comprendre le processus et déterminer quelles clés sont fiables. Le projet Sigstore vise à simplifier et automatiser ces processus en fournissant une solution clé en main et éprouvée.

Source: opennet.ru