{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat et Google ont pr\u00e9sent\u00e9 Sigstore, un service de v\u00e9rification cryptographique du code","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les entreprises Red Hat et Google, en collaboration avec l'Universit\u00e9 de Purdue, ont lanc\u00e9 le projet Sigstore, visant \u00e0 cr\u00e9er des outils et des services pour la v\u00e9rification des logiciels \u00e0 l'aide de signatures num\u00e9riques et la tenue d'un registre public pour confirmer l'authenticit\u00e9 (transparency log). Le projet sera d\u00e9velopp\u00e9 sous l'\u00e9gide de l'organisation \u00e0 but non lucratif Linux Foundation. <\/p>\n

Le projet propos\u00e9 permettra d'am\u00e9liorer la s\u00e9curit\u00e9 des canaux de distribution de logiciels et de se prot\u00e9ger contre les attaques visant \u00e0 remplacer des composants et des d\u00e9pendances logiciels (supply chain). L'une des principales pr\u00e9occupations en mati\u00e8re de s\u00e9curit\u00e9 dans le logiciel libre est la complexit\u00e9 de la v\u00e9rification de la source d'obtention du programme et de la v\u00e9rification du processus de construction. Par exemple, pour v\u00e9rifier l'int\u00e9grit\u00e9 d'une version, la plupart des projets utilisent des hachages, mais souvent les informations n\u00e9cessaires \u00e0 la v\u00e9rification de l'authenticit\u00e9 sont stock\u00e9es sur des syst\u00e8mes non s\u00e9curis\u00e9s et dans des d\u00e9p\u00f4ts de code publics, dont la compromission permet aux attaquants de remplacer les fichiers n\u00e9cessaires \u00e0 la v\u00e9rification et d'introduire des modifications malveillantes sans \u00e9veiller les soup\u00e7ons. <\/p>\n

Seule une petite partie des projets utilise des signatures num\u00e9riques lors de la distribution des versions en raison des difficult\u00e9s de gestion des cl\u00e9s, de distribution des cl\u00e9s publiques et de r\u00e9vocation des cl\u00e9s compromises. Pour que la v\u00e9rification ait un sens, il est \u00e9galement n\u00e9cessaire d'organiser un processus fiable et s\u00e9curis\u00e9 de distribution des cl\u00e9s publiques et des sommes de contr\u00f4le. M\u00eame en pr\u00e9sence d'une signature num\u00e9rique, de nombreux utilisateurs ignorent la v\u00e9rification, car cela n\u00e9cessite de passer du temps \u00e0 comprendre le processus de v\u00e9rification et \u00e0 d\u00e9terminer quelle cl\u00e9 m\u00e9rite confiance. <\/p>\n

Sigstore est pr\u00e9sent\u00e9 comme l'\u00e9quivalent de Let's Encrypt pour le code, fournissant des certificats pour l'attestation de code par des signatures num\u00e9riques et des outils pour automatiser la v\u00e9rification. Gr\u00e2ce \u00e0 Sigstore, les d\u00e9veloppeurs pourront g\u00e9n\u00e9rer des signatures num\u00e9riques pour les artefacts li\u00e9s \u00e0 l'application, tels que les fichiers de versions, les images de conteneurs, les manifestes et les fichiers ex\u00e9cutables. La particularit\u00e9 de Sigstore est que le mat\u00e9riel utilis\u00e9 pour la signature est refl\u00e9t\u00e9 dans un registre public prot\u00e9g\u00e9 contre toute modification, qui peut \u00eatre utilis\u00e9 pour la v\u00e9rification et l'audit. <\/p>\n

Au lieu de cl\u00e9s permanentes, Sigstore utilise des cl\u00e9s \u00e9ph\u00e9m\u00e8res \u00e0 courte dur\u00e9e de vie, g\u00e9n\u00e9r\u00e9es sur la base d'autorisations confirm\u00e9es par des fournisseurs OpenID Connect (lors de la g\u00e9n\u00e9ration des cl\u00e9s pour la signature num\u00e9rique, le d\u00e9veloppeur s'identifie via le fournisseur OpenID en liant son email). L'authenticit\u00e9 des cl\u00e9s est v\u00e9rifi\u00e9e via un journal public centralis\u00e9, permettant ainsi de s'assurer que le signataire est bien celui qu'il pr\u00e9tend \u00eatre et que la signature a \u00e9t\u00e9 cr\u00e9\u00e9e par le m\u00eame participant qui a g\u00e9r\u00e9 les versions pr\u00e9c\u00e9dentes. <\/p>\n

Sigstore propose \u00e0 la fois un service pr\u00eat \u00e0 l'emploi, d\u00e9j\u00e0 accessible, et un ensemble d'outils permettant de d\u00e9ployer des services similaires sur son propre mat\u00e9riel. Le service est gratuit pour tous les d\u00e9veloppeurs et fournisseurs de logiciels, et est d\u00e9ploy\u00e9 sur une plateforme neutre \u2014 la Linux Foundation. Tous les composants du service sont ouverts, \u00e9crits en Go et distribu\u00e9s sous la licence Apache 2.0. <\/p>\n

Parmi les composants en cours de d\u00e9veloppement, on peut noter : <\/p>\n