{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Le projet gittuf d\u00e9veloppe un syst\u00e8me de protection cryptographique des d\u00e9p\u00f4ts Git","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version 0.4 du projet gittuf est d\u00e9sormais disponible. Elle d\u00e9veloppe un syst\u00e8me hi\u00e9rarchique de v\u00e9rification du contenu des d\u00e9p\u00f4ts Git, permettant de minimiser les risques en cas de compromission de certains d\u00e9veloppeurs ayant acc\u00e8s au d\u00e9p\u00f4t. Gittuf fournit une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire \u00e0 Git ainsi qu'un ensemble d'outils pour g\u00e9rer les cl\u00e9s de tous les d\u00e9veloppeurs ayant acc\u00e8s au d\u00e9p\u00f4t et \u00e9tablir des r\u00e8gles d'acc\u00e8s aux branches, tags et fichiers sp\u00e9cifiques. Le code du projet est \u00e9crit en Go et distribu\u00e9 sous la licence Apache 2.0. Le projet est en phase de d\u00e9veloppement actif et a la qualit\u00e9 d'un version alpha, adapt\u00e9e aux exp\u00e9rimentations, mais pas encore pr\u00eate pour des d\u00e9ploiements en production. <\/p>\n
Les informations et artefacts permettant une v\u00e9rification suppl\u00e9mentaire des modifications apport\u00e9es sont stock\u00e9s dans le r\u00e9f\u00e9rentiel d'objets Git dans un espace de noms sp\u00e9cifique \u00e0 gittuf. Cela permet de maintenir la compatibilit\u00e9 avec les outils et services existants, y compris GitHub et GitLab. Lors de l'utilisation d'outils ne prenant pas en charge gittuf, le d\u00e9p\u00f4t reste enti\u00e8rement accessible, mais la capacit\u00e9 de v\u00e9rification avanc\u00e9e de son int\u00e9grit\u00e9 est limit\u00e9e. L'architecture de gittuf se base sur des \u00e9l\u00e9ments \u00e9prouv\u00e9s du cadre TUF (The Update Framework), utilis\u00e9 pour s\u00e9curiser les processus de mise \u00e0 jour dans des projets tels que Docker, Fuchsia, AGL (Automotive Grade Linux) et PyPI. <\/p>\n
Le mod\u00e8le de v\u00e9rification dans gittuf repose sur l'application d'un syst\u00e8me hi\u00e9rarchique de diffusion de la confiance. La racine de confiance appartient au propri\u00e9taire du d\u00e9p\u00f4t, qui peut g\u00e9n\u00e9rer des cl\u00e9s pour les participants au d\u00e9veloppement et d\u00e9finir les r\u00e8gles selon lesquelles les cl\u00e9s cr\u00e9\u00e9es peuvent \u00eatre appliqu\u00e9es. Gittuf permet de cr\u00e9er des r\u00e8gles granulaires flexibles d\u00e9terminant les pouvoirs de chaque d\u00e9veloppeur et la zone du d\u00e9p\u00f4t dans laquelle il peut effectuer des modifications. Par exemple, un d\u00e9veloppeur peut \u00eatre autoris\u00e9 \u00e0 cr\u00e9er des tags, \u00e0 apporter des modifications \u00e0 certaines branches ou \u00e0 modifier seulement certains fichiers dans le d\u00e9p\u00f4t. <\/p>\n
Les d\u00e9veloppeurs et les modifications qu'ils apportent sont identifi\u00e9s par des cl\u00e9s et des signatures num\u00e9riques. Gittuf permet de g\u00e9n\u00e9rer de nouvelles cl\u00e9s, de les distribuer en toute s\u00e9curit\u00e9, d'effectuer une rotation r\u00e9guli\u00e8re des cl\u00e9s, de r\u00e9voquer des cl\u00e9s compromises, de g\u00e9rer des listes d'acc\u00e8s (ACL) et des espaces de noms dans des d\u00e9p\u00f4ts Git. Gittuf tient \u00e9galement un journal de r\u00e9f\u00e9rence de tous les changements (RSL \u2014 Reference State Log), dont l'int\u00e9grit\u00e9 et la protection contre les modifications r\u00e9troactives sont assur\u00e9es par une structure arborescente appel\u00e9e \u00ab arbre de Merkle \u00bb (Merkle Tree) \u2014 chaque branche v\u00e9rifie toutes les branches et n\u0153uds descendants gr\u00e2ce \u00e0 un hachage arborescent (avec un hachage final, l'utilisateur peut s'assurer de la validit\u00e9 de toute l'historique des op\u00e9rations, ainsi que de la validit\u00e9 des \u00e9tats ant\u00e9rieurs). <\/p>\n
Pour la v\u00e9rification des signatures num\u00e9riques des commits et des tags, le propri\u00e9taire du d\u00e9p\u00f4t forme et distribue des cl\u00e9s publiques qui sont directement associ\u00e9es au d\u00e9p\u00f4t. Pour contrer la promotion des modifications par des malfaiteurs, cr\u00e9\u00e9es apr\u00e8s avoir eu acc\u00e8s aux cl\u00e9s pour g\u00e9n\u00e9rer des signatures num\u00e9riques de d\u00e9veloppeurs individuels, des m\u00e9canismes de r\u00e9vocation et de remplacement de cl\u00e9s sont appliqu\u00e9s. Les cl\u00e9s ont une dur\u00e9e de vie limit\u00e9e et n\u00e9cessitent une mise \u00e0 jour constante pour se pr\u00e9munir contre la production de signatures par d'anciennes cl\u00e9s. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"