Google a annonc\u00e9 la cr\u00e9ation des premi\u00e8res versions stables des composants qui constituent le projet Sigstore, qui a \u00e9t\u00e9 d\u00e9clar\u00e9 pr\u00eat pour des d\u00e9ploiements op\u00e9rationnels. Sigstore d\u00e9veloppe des outils et des services pour la v\u00e9rification des logiciels \u00e0 l'aide de signatures num\u00e9riques et d'un registre public qui confirme l'authenticit\u00e9 des modifications (transparency log). Le projet est port\u00e9 par la Linux Foundation et des entreprises telles que Google, Red Hat, Cisco, VMware, GitHub et HP Enterprise, avec la participation de l'organisation OpenSSF (Open Source Security Foundation) et de l'universit\u00e9 Purdue. <\/p>\n
Sigstore peut \u00eatre consid\u00e9r\u00e9 comme l'analogue de Let's Encrypt pour le code, fournissant des certificats pour l'attestation du code par des signatures num\u00e9riques et un ensemble d'outils pour automatiser la v\u00e9rification. Gr\u00e2ce \u00e0 Sigstore, les d\u00e9veloppeurs pourront cr\u00e9er des signatures num\u00e9riques pour les artefacts li\u00e9s \u00e0 l'application, tels que les fichiers de version, les images de conteneurs, les manifestes et les fichiers ex\u00e9cutables. Le mat\u00e9riel utilis\u00e9 pour la signature appara\u00eet dans un journal public prot\u00e9g\u00e9 des modifications, qui peut \u00eatre utilis\u00e9 pour la v\u00e9rification et l'audit. <\/p>\n
Au lieu de cl\u00e9s permanentes, Sigstore utilise des cl\u00e9s \u00e9ph\u00e9m\u00e8res \u00e0 courte dur\u00e9e de vie, qui sont g\u00e9n\u00e9r\u00e9es sur la base d'habilitations v\u00e9rifi\u00e9es par des fournisseurs OpenID Connect (lors de la g\u00e9n\u00e9ration des cl\u00e9s n\u00e9cessaires \u00e0 la cr\u00e9ation de la signature num\u00e9rique, le d\u00e9veloppeur s'identifie via le fournisseur OpenID en associant son adresse email). L'authenticit\u00e9 des cl\u00e9s est v\u00e9rifi\u00e9e par un registre public centralis\u00e9, qui permet de s'assurer que l'auteur de la signature est bien celui qu'il pr\u00e9tend \u00eatre, et que la signature a \u00e9t\u00e9 cr\u00e9\u00e9e par le m\u00eame participant qui a g\u00e9r\u00e9 les versions pr\u00e9c\u00e9dentes. <\/p>\n
La pr\u00e9paration de Sigstore pour le d\u00e9ploiement est due \u00e0 la formation des versions de deux composants cl\u00e9s \u2014 Rekor 1.0 et Fulcio 1.0, dont les interfaces de programmation ont \u00e9t\u00e9 d\u00e9clar\u00e9es stables et garantissant la r\u00e9trocompatibilit\u00e9. Les composants du service sont \u00e9crits en Go et distribu\u00e9s sous la licence Apache 2.0. <\/p>\n
Le composant Rekor contient une impl\u00e9mentation du journal pour stocker les m\u00e9tadonn\u00e9es certifi\u00e9es par des signatures num\u00e9riques, refl\u00e9tant des informations sur les projets. Pour garantir l'int\u00e9grit\u00e9 et prot\u00e9ger contre la falsification des donn\u00e9es r\u00e9troactivement, une structure en arbre, le \u00ab arbre de Merkle \u00bb, est utilis\u00e9e, dans laquelle chaque branche v\u00e9rifie toutes les branches et n\u0153uds inf\u00e9rieurs gr\u00e2ce \u00e0 un hachage commun (en arbre). Avec un hachage final, l'utilisateur peut v\u00e9rifier la validit\u00e9 de l'ensemble de l'historique des op\u00e9rations, ainsi que la validit\u00e9 des \u00e9tats pass\u00e9s de la base de donn\u00e9es (le hachage racine v\u00e9rifiant le nouvel \u00e9tat de la base est calcul\u00e9 en tenant compte de l'\u00e9tat pr\u00e9c\u00e9dent). Pour la v\u00e9rification et l'ajout de nouvelles entr\u00e9es, une API RESTful est fournie, ainsi qu'une interface en ligne de commande. <\/p>\n
Le composant Fulcio (SigStore WebPKI) inclut un syst\u00e8me permettant de cr\u00e9er des autorit\u00e9s de certification (root CA) d\u00e9livrant des certificats \u00e0 courte dur\u00e9e de vie bas\u00e9s sur l'email, authentifi\u00e9 via OpenID Connect. La dur\u00e9e de vie du certificat est de 20 minutes, au cours desquelles le d\u00e9veloppeur doit r\u00e9ussir \u00e0 g\u00e9n\u00e9rer une signature num\u00e9rique (si par la suite le certificat tombe entre de mauvaises mains, il sera d\u00e9j\u00e0 expir\u00e9). De plus, le projet d\u00e9veloppe un outil nomm\u00e9 Cosign (Container Signing), destin\u00e9 \u00e0 g\u00e9n\u00e9rer des signatures pour des conteneurs, v\u00e9rifier les signatures et stocker les conteneurs sign\u00e9s dans des d\u00e9p\u00f4ts compatibles avec OCI (Open Container Initiative). <\/p>\n
L'int\u00e9gration de Sigstore permet d'am\u00e9liorer la s\u00e9curit\u00e9 des canaux de distribution des logiciels et de se prot\u00e9ger contre les attaques visant \u00e0 substituer des biblioth\u00e8ques et des d\u00e9pendances (supply chain). L'un des probl\u00e8mes de s\u00e9curit\u00e9 majeurs dans les logiciels open source est la difficult\u00e9 \u00e0 v\u00e9rifier l'origine d'un programme et \u00e0 valider le processus de construction. Par exemple, pour v\u00e9rifier l'int\u00e9grit\u00e9 d'une version, la majorit\u00e9 des projets utilisent des hachages, mais souvent, les informations n\u00e9cessaires \u00e0 la v\u00e9rification de l'authenticit\u00e9 sont stock\u00e9es sur des syst\u00e8mes non s\u00e9curis\u00e9s et dans des d\u00e9p\u00f4ts de code publics, dont la compromission permet aux attaquants de substituer les fichiers n\u00e9cessaires \u00e0 la v\u00e9rification et, sans \u00e9veiller de soup\u00e7ons, d'introduire des modifications malveillantes. <\/p>\n
L'utilisation de signatures num\u00e9riques pour la v\u00e9rification des publications n'est pas encore largement r\u00e9pandue en raison des difficult\u00e9s li\u00e9es \u00e0 la gestion des cl\u00e9s, \u00e0 la distribution des cl\u00e9s publiques et au retrait des cl\u00e9s compromises. Pour que la v\u00e9rification ait un sens, il est \u00e9galement n\u00e9cessaire d'organiser un processus fiable et s\u00e9curis\u00e9 de distribution des cl\u00e9s publiques et des sommes de contr\u00f4le. M\u00eame avec une signature num\u00e9rique, de nombreux utilisateurs n\u00e9gligent la v\u00e9rification, car il faut consacrer du temps \u00e0 comprendre le processus de v\u00e9rification et \u00e0 d\u00e9terminer quelle cl\u00e9 m\u00e9rite d'\u00eatre consid\u00e9r\u00e9e comme fiable. Le projet Sigstore tente de simplifier et d'automatiser ces processus en fournissant une solution pr\u00eate \u00e0 l'emploi et v\u00e9rifi\u00e9e. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439. Sigstore \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u043b\u044f \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u0445 \u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439 \u0438 \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 (transparency log). \u041f\u0440\u043e\u0435\u043a\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u044d\u0433\u0438\u0434\u043e\u0439 \u043d\u0435\u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 Linux Foundation \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Google, Red Hat, Cisco, vmWare, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105382","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Annonce de la disponibilit\u00e9 du syst\u00e8me de v\u00e9rification cryptographique de code Sigstore | ProHoster","description":"Google a annonc\u00e9 la cr\u00e9ation des premi\u00e8res versions stables des composants du projet Sigstore, qui sont d\u00e9clar\u00e9s adapt\u00e9s \u00e0 la mise en place d'impl\u00e9mentations pratiques.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043e \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0434\u0430 Sigstore | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-10-25T19:36:48+00:00","article:modified_time":"2022-10-25T19:36:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/105382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=105382"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/105382\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=105382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=105382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=105382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"