Red Hat et Google ont présenté Sigstore, un service de vérification du code cryptographique

Red Hat et Google, en collaboration avec l'université Purdue, ont fondé le projet Sigstore, qui vise à créer des outils et des services de vérification logicielle par signature numérique et à tenir un registre public de transparence. Ce projet sera développé sous l'égide d'une organisation à but non lucratif. Linux Fondation.

Le projet proposé améliorera la sécurité des canaux de distribution de logiciels et les protégera contre les attaques visant à remplacer les composants et les dépendances (chaîne d'approvisionnement). L'un des principaux problèmes de sécurité des logiciels open source réside dans la difficulté de vérifier le code source du programme et son processus de compilation. Par exemple, la plupart des projets utilisent des hachages pour vérifier l'intégrité d'une version, mais les informations nécessaires à cette vérification sont souvent stockées sur des systèmes non protégés et dans des référentiels de code partagés. Ainsi, en cas de compromission, les attaquants peuvent remplacer les fichiers nécessaires à la vérification et, sans éveiller les soupçons, introduire des modifications malveillantes.

Seul un petit nombre de projets utilisent des signatures numériques lors de la distribution des versions, en raison de la complexité de la gestion des clés, de la distribution des clés publiques et de la révocation des clés compromises. Pour que la vérification soit efficace, un processus fiable et sécurisé de distribution des clés publiques et des sommes de contrôle est également nécessaire. Même avec une signature numérique, de nombreux utilisateurs ignorent la vérification, car ils doivent consacrer du temps à l'apprentissage du processus de vérification et à la compréhension des clés fiables.

Sigstore se présente comme une version similaire de Let's Encrypt pour le code, fournissant des certificats pour certifier le code avec des signatures numériques et des outils pour automatiser la vérification. Avec Sigstore, les développeurs pourront générer des signatures numériques pour les artefacts liés aux applications, tels que les fichiers de version, les images de conteneur, les manifestes et les exécutables. Une particularité de Sigstore est que le matériel utilisé pour la signature est reflété dans un journal public inviolable, utilisable à des fins de vérification et d'audit.

Au lieu de clés permanentes, Sigstore utilise des clés éphémères à durée de vie limitée, générées à partir des informations d'identification vérifiées par les fournisseurs OpenID Connect (lors de la génération des clés pour une signature numérique, le développeur s'identifie via un fournisseur OpenID associé à une adresse e-mail). L'authenticité des clés est vérifiée grâce à un journal centralisé public, qui permet de vérifier que l'auteur de la signature est bien celui qu'il prétend être et que la signature a été générée par le même participant que celui responsable des versions précédentes.

Sigstore propose un service clé en main ainsi qu'un ensemble d'outils permettant de déployer des services similaires sur votre propre matériel. Ce service est gratuit pour tous les développeurs et éditeurs de logiciels et est déployé sur une plateforme neutre. Linux Fondation. Tous les composants du service sont open source, écrits en Go et distribués sous la licence Apache 2.0.

Parmi les composants en cours de développement, on peut noter :

• Rekor est une implémentation de journal permettant de stocker des métadonnées signées numériquement reflétant les informations du projet. Pour garantir l'intégrité des données et la protection contre toute corruption rétroactive, une structure arborescente appelée « arbre de Merkle » est utilisée. Chaque branche vérifie toutes les branches et tous les nœuds sous-jacents grâce à un hachage conjoint (arborescent). Le hachage final permet de vérifier l'exactitude de l'historique complet des opérations, ainsi que celle des états passés de la base de données (le hachage de vérification racine du nouvel état de la base de données est calculé en tenant compte de l'état passé). Une API RESTful et une interface CLI sont fournies pour la vérification et l'ajout de nouveaux enregistrements.
• Fulcio (SigStore WebPKI) est un système permettant de créer des autorités de certification (Root-CA) qui émettent des certificats de courte durée basés sur des e-mails authentifiés via OpenID Connect. La durée de vie du certificat est de 20 minutes, ce qui permet au développeur de générer une signature numérique (si le certificat tombe entre les mains d'un intrus, il sera déjà expiré).
• Cosign (Container Signing) est un outil permettant de générer des signatures pour les conteneurs, de vérifier les signatures et de placer les conteneurs signés dans des référentiels compatibles OCI (Open Container Initiative).

Source: opennet.ru