સિગસ્ટોર ક્રિપ્ટોગ્રાફિક વેરિફિકેશન સિસ્ટમની જાહેરાત કરી

ગૂગલે સિગસ્ટોર પ્રોજેક્ટની રચના કરતા ઘટકોના પ્રથમ સ્થિર પ્રકાશનોની રચનાની જાહેરાત કરી, જે કાર્યકારી અમલીકરણો બનાવવા માટે યોગ્ય જાહેર કરવામાં આવી છે. સિગસ્ટોર ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કરીને સોફ્ટવેર ચકાસણી માટે સાધનો અને સેવાઓ વિકસાવે છે અને ફેરફારોની અધિકૃતતા (પારદર્શિતા લોગ) ની પુષ્ટિ કરતા સાર્વજનિક લોગને જાળવી રાખે છે. આ પ્રોજેક્ટ ઓપનએસએસએફ (ઓપન સોર્સ સિક્યુરિટી ફાઉન્ડેશન) સંસ્થા અને પરડ્યુ યુનિવર્સિટીની ભાગીદારી સાથે Google, Red Hat, Cisco, vmWare, GitHub અને HP Enterprise દ્વારા બિન-લાભકારી સંસ્થા Linux Foundation ના આશ્રય હેઠળ વિકસાવવામાં આવી રહ્યો છે.

સિગસ્ટોરને કોડ માટે લેટ્સ એન્ક્રિપ્ટના એનાલોગ તરીકે વિચારી શકાય છે, જે કોડને ડિજિટલી સહી કરવા માટે પ્રમાણપત્રો અને સ્વચાલિત ચકાસણી માટે સાધનો પ્રદાન કરે છે. સિગસ્ટોર સાથે, વિકાસકર્તાઓ એપ્લિકેશન-સંબંધિત કલાકૃતિઓ જેમ કે રીલીઝ ફાઇલો, કન્ટેનર ઇમેજ, મેનિફેસ્ટ અને એક્ઝિક્યુટેબલ પર ડિજિટલી હસ્તાક્ષર કરી શકે છે. હસ્તાક્ષર સામગ્રી ટેમ્પર-પ્રૂફ જાહેર લોગમાં પ્રતિબિંબિત થાય છે જેનો ઉપયોગ ચકાસણી અને ઓડિટ માટે થઈ શકે છે.

કાયમી કીને બદલે, સિગસ્ટોર અલ્પજીવી ક્ષણિક કીનો ઉપયોગ કરે છે, જે OpenID Connect પ્રદાતાઓ દ્વારા પુષ્ટિ થયેલ ઓળખપત્રોના આધારે જનરેટ થાય છે (ડિજીટલ હસ્તાક્ષર બનાવવા માટે જરૂરી કી જનરેટ કરતી વખતે, વિકાસકર્તા પોતાની સાથે લિંક કરેલ OpenID પ્રદાતા દ્વારા પોતાની ઓળખ આપે છે. ઇમેઇલ). સાર્વજનિક કેન્દ્રિય લૉગનો ઉપયોગ કરીને કીઓની અધિકૃતતા ચકાસવામાં આવે છે, જે ચકાસવાનું શક્ય બનાવે છે કે હસ્તાક્ષરનો લેખક તે જ છે જેનો તે દાવો કરે છે, અને હસ્તાક્ષર તે જ સહભાગી દ્વારા જનરેટ કરવામાં આવ્યા હતા જે ભૂતકાળના પ્રકાશનો માટે જવાબદાર હતા.

અમલીકરણ માટે સિગસ્ટોરની તૈયારી બે મુખ્ય ઘટકો - Rekor 1.0 અને Fulcio 1.0 ના પ્રકાશનોની રચનાને કારણે છે, જેનાં સોફ્ટવેર ઈન્ટરફેસ સ્થિર જાહેર કરવામાં આવ્યા છે અને તે બેકવર્ડ સુસંગત બનવાનું ચાલુ રાખશે. સેવાના ઘટકો Go માં લખેલા છે અને Apache 2.0 લાયસન્સ હેઠળ વિતરિત કરવામાં આવ્યા છે.

Rekor ઘટક પ્રોજેક્ટ્સ વિશેની માહિતીને પ્રતિબિંબિત કરતા ડિજિટલી હસ્તાક્ષરિત મેટાડેટાને સંગ્રહિત કરવા માટે લોગ અમલીકરણ ધરાવે છે. અખંડિતતા સુનિશ્ચિત કરવા અને હકીકત પછી ડેટા ભ્રષ્ટાચાર સામે રક્ષણ આપવા માટે, મર્કલ ટ્રી ટ્રી સ્ટ્રક્ચરનો ઉપયોગ કરવામાં આવે છે, જેમાં દરેક શાખા સંયુક્ત (ટ્રી) હેશિંગ દ્વારા તમામ અંતર્ગત શાખાઓ અને ગાંઠોની ચકાસણી કરે છે. અંતિમ હેશ રાખવાથી, વપરાશકર્તા કામગીરીના સમગ્ર ઇતિહાસની શુદ્ધતા તેમજ ડેટાબેઝની ભૂતકાળની સ્થિતિની ચોકસાઈને ચકાસી શકે છે (ડેટાબેઝની નવી સ્થિતિના રૂટ વેરિફિકેશન હેશની ગણતરી ભૂતકાળની સ્થિતિને ધ્યાનમાં રાખીને કરવામાં આવે છે. ). એક RESTful API ચકાસણી અને નવા રેકોર્ડ્સ ઉમેરવા તેમજ કમાન્ડ લાઇન ઇન્ટરફેસ માટે પ્રદાન કરવામાં આવે છે.

Fulcio ઘટક (SigStore WebPKI) પ્રમાણપત્ર સત્તાવાળાઓ (રુટ CAs) બનાવવા માટેની સિસ્ટમનો સમાવેશ કરે છે જે OpenID કનેક્ટ દ્વારા પ્રમાણિત કરાયેલ ઇમેઇલના આધારે અલ્પજીવી પ્રમાણપત્રો જારી કરે છે. પ્રમાણપત્રનું જીવનકાળ 20 મિનિટ છે, જે દરમિયાન વિકાસકર્તા પાસે ડિજિટલ હસ્તાક્ષર જનરેટ કરવા માટે સમય હોવો આવશ્યક છે (જો પ્રમાણપત્ર પાછળથી હુમલાખોરના હાથમાં આવે છે, તો તે પહેલાથી જ સમાપ્ત થઈ જશે). વધુમાં, પ્રોજેક્ટ કોસાઇન (કન્ટેનર સાઇનિંગ) ટૂલકીટ વિકસાવી રહ્યો છે, જે કન્ટેનર માટે સહી જનરેટ કરવા, હસ્તાક્ષર ચકાસવા અને OCI (ઓપન કન્ટેનર ઇનિશિયેટિવ) સાથે સુસંગત રીપોઝીટરીઝમાં સહી કરેલ કન્ટેનર મૂકવા માટે રચાયેલ છે.

સિગસ્ટોરના અમલીકરણથી પ્રોગ્રામ ડિસ્ટ્રિબ્યુશન ચેનલોની સુરક્ષામાં વધારો કરવો અને લાઇબ્રેરીઓ અને અવલંબન (સપ્લાય ચેઇન)ને બદલવાના હેતુથી થતા હુમલાઓ સામે રક્ષણ કરવાનું શક્ય બને છે. ઓપન સોર્સ સોફ્ટવેરમાં મુખ્ય સુરક્ષા સમસ્યાઓ પૈકી એક પ્રોગ્રામના સ્ત્રોતને ચકાસવામાં અને બિલ્ડ પ્રક્રિયાને ચકાસવામાં મુશ્કેલી છે. ઉદાહરણ તરીકે, મોટાભાગના પ્રોજેક્ટ્સ રીલીઝની અખંડિતતાને ચકાસવા માટે હેશનો ઉપયોગ કરે છે, પરંતુ ઘણીવાર પ્રમાણીકરણ માટે જરૂરી માહિતી અસુરક્ષિત સિસ્ટમ્સ અને શેર કરેલ કોડ રિપોઝીટરીઝમાં સંગ્રહિત થાય છે, જેના પરિણામે હુમલાખોરો ચકાસણી માટે જરૂરી ફાઇલો સાથે ચેડા કરી શકે છે અને દૂષિત ફેરફારો દાખલ કરી શકે છે. શંકા ઉપજાવ્યા વિના.

રીલીઝ ચકાસણી માટે ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કીના સંચાલનમાં, સાર્વજનિક ચાવીઓનું વિતરણ કરવામાં અને ચેડા કરાયેલી કીઓને રદ કરવામાં મુશ્કેલીઓને કારણે હજુ સુધી વ્યાપક બન્યો નથી. ચકાસણીને અર્થપૂર્ણ બનાવવા માટે, સાર્વજનિક ચાવીઓ અને ચેકસમના વિતરણ માટે વિશ્વસનીય અને સુરક્ષિત પ્રક્રિયા ગોઠવવી પણ જરૂરી છે. ડિજિટલ હસ્તાક્ષર સાથે પણ, ઘણા વપરાશકર્તાઓ ચકાસણીની અવગણના કરે છે કારણ કે તેમને ચકાસણી પ્રક્રિયા શીખવામાં અને કઈ કી વિશ્વસનીય છે તે સમજવામાં સમય પસાર કરવાની જરૂર છે. સિગસ્ટોર પ્રોજેક્ટ તૈયાર અને સાબિત સોલ્યુશન પ્રદાન કરીને આ પ્રક્રિયાઓને સરળ અને સ્વચાલિત કરવાનો પ્રયાસ કરે છે.

સોર્સ: opennet.ru