Red Hat અને Google એ ક્રિપ્ટોગ્રાફિક કોડ ચકાસણી માટેની સેવા સિગસ્ટોર રજૂ કરી

રેડ હેટ અને ગૂગલે, પરડ્યુ યુનિવર્સિટી સાથે મળીને, સિગસ્ટોર પ્રોજેક્ટની સ્થાપના કરી, જેનો હેતુ ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કરીને સોફ્ટવેરને ચકાસવા અને અધિકૃતતા (પારદર્શિતા લોગ)ની પુષ્ટિ કરવા માટે જાહેર લોગ જાળવવા માટે સાધનો અને સેવાઓ બનાવવાનો હતો. આ પ્રોજેક્ટ બિન-લાભકારી સંસ્થા Linux ફાઉન્ડેશનના આશ્રય હેઠળ વિકસાવવામાં આવશે.

સૂચિત પ્રોજેક્ટ સોફ્ટવેર વિતરણ ચેનલોની સુરક્ષામાં સુધારો કરશે અને સોફ્ટવેર ઘટકો અને અવલંબન (સપ્લાય ચેન) ને બદલવાના હેતુથી થતા હુમલાઓ સામે રક્ષણ કરશે. ઓપન સોર્સ સોફ્ટવેરમાં મુખ્ય સુરક્ષા સમસ્યાઓ પૈકી એક પ્રોગ્રામના સ્ત્રોતને ચકાસવામાં અને બિલ્ડ પ્રક્રિયાને ચકાસવામાં મુશ્કેલી છે. ઉદાહરણ તરીકે, મોટાભાગના પ્રોજેક્ટ્સ રીલીઝની અખંડિતતાને ચકાસવા માટે હેશનો ઉપયોગ કરે છે, પરંતુ ઘણીવાર પ્રમાણીકરણ માટે જરૂરી માહિતી અસુરક્ષિત સિસ્ટમ્સ અને શેર કરેલ કોડ રિપોઝીટરીઝમાં સંગ્રહિત થાય છે, જેના પરિણામે હુમલાખોરો ચકાસણી માટે જરૂરી ફાઇલો સાથે ચેડા કરી શકે છે અને દૂષિત ફેરફારો દાખલ કરી શકે છે. શંકા ઉપજાવ્યા વિના.

કી મેનેજ કરવામાં, સાર્વજનિક ચાવીઓનું વિતરણ કરવામાં અને ચેડા કરાયેલી કીને રદ કરવામાં મુશ્કેલીઓને કારણે રીલીઝનું વિતરણ કરતી વખતે પ્રોજેક્ટનો માત્ર એક નાનો હિસ્સો ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કરે છે. ચકાસણીને અર્થપૂર્ણ બનાવવા માટે, સાર્વજનિક ચાવીઓ અને ચેકસમના વિતરણ માટે વિશ્વસનીય અને સુરક્ષિત પ્રક્રિયા ગોઠવવી પણ જરૂરી છે. ડિજિટલ હસ્તાક્ષર સાથે પણ, ઘણા વપરાશકર્તાઓ ચકાસણીની અવગણના કરે છે કારણ કે તેઓએ ચકાસણી પ્રક્રિયાનો અભ્યાસ કરવા અને કઈ કી વિશ્વસનીય છે તે સમજવામાં સમય પસાર કરવાની જરૂર છે.

સિગસ્ટોરને કોડ માટે લેટ્સ એન્ક્રિપ્ટના સમકક્ષ તરીકે ઓળખવામાં આવે છે, જે ડિજિટલી સાઇનિંગ કોડ માટે પ્રમાણપત્રો અને સ્વચાલિત ચકાસણી માટે સાધનો પ્રદાન કરે છે. સિગસ્ટોર સાથે, વિકાસકર્તાઓ એપ્લિકેશન-સંબંધિત કલાકૃતિઓ જેમ કે રીલીઝ ફાઇલો, કન્ટેનર ઇમેજ, મેનિફેસ્ટ અને એક્ઝિક્યુટેબલ પર ડિજિટલી હસ્તાક્ષર કરી શકે છે. સિગસ્ટોરની એક વિશેષ વિશેષતા એ છે કે હસ્તાક્ષર માટે વપરાતી સામગ્રી ટેમ્પર-પ્રૂફ પબ્લિક લોગમાં પ્રતિબિંબિત થાય છે જેનો ઉપયોગ ચકાસણી અને ઓડિટ માટે થઈ શકે છે.

કાયમી કીને બદલે, સિગસ્ટોર અલ્પજીવી ક્ષણિક કીનો ઉપયોગ કરે છે, જે OpenID Connect પ્રદાતાઓ દ્વારા પુષ્ટિ થયેલ ઓળખપત્રોના આધારે જનરેટ કરવામાં આવે છે (ડિજિટલ હસ્તાક્ષર માટે કી જનરેટ કરતી વખતે, વિકાસકર્તા ઈમેલ સાથે લિંક કરેલ OpenID પ્રદાતા દ્વારા પોતાને ઓળખે છે). સાર્વજનિક કેન્દ્રિય લોગનો ઉપયોગ કરીને કીઓની અધિકૃતતા ચકાસવામાં આવે છે, જે ચકાસવાનું શક્ય બનાવે છે કે હસ્તાક્ષરનો લેખક તે જ છે જેનો તે દાવો કરે છે અને હસ્તાક્ષર એ જ સહભાગી દ્વારા બનાવવામાં આવ્યા હતા જે ભૂતકાળના પ્રકાશનો માટે જવાબદાર હતા.

સિગસ્ટોર એક તૈયાર સેવા આપે છે જેનો તમે પહેલેથી ઉપયોગ કરી શકો છો અને સાધનોનો સમૂહ જે તમને તમારા પોતાના સાધનો પર સમાન સેવાઓનો ઉપયોગ કરવાની મંજૂરી આપે છે. સેવા તમામ વિકાસકર્તાઓ અને સોફ્ટવેર પ્રદાતાઓ માટે મફત છે, અને તટસ્થ પ્લેટફોર્મ - Linux ફાઉન્ડેશન પર તૈનાત છે. સેવાના તમામ ઘટકો ઓપન સોર્સ છે, Go માં લખેલા છે અને Apache 2.0 લાયસન્સ હેઠળ વિતરિત છે.

વિકસિત ઘટકોમાં આપણે નોંધ કરી શકીએ છીએ:

• Rekor એ પ્રોજેક્ટ વિશેની માહિતીને પ્રતિબિંબિત કરતા ડિજિટલી હસ્તાક્ષરિત મેટાડેટાને સંગ્રહિત કરવા માટે એક લોગ અમલીકરણ છે. અખંડિતતા સુનિશ્ચિત કરવા અને હકીકત પછી ડેટા ભ્રષ્ટાચાર સામે રક્ષણ આપવા માટે, વૃક્ષ જેવું માળખું "મર્કલ ટ્રી" નો ઉપયોગ કરવામાં આવે છે, જેમાં દરેક શાખા તમામ અંતર્ગત શાખાઓ અને ગાંઠો ચકાસે છે, સંયુક્ત (ઝાડ જેવા) હેશિંગને આભારી છે. અંતિમ હેશ રાખવાથી, વપરાશકર્તા કામગીરીના સમગ્ર ઇતિહાસની શુદ્ધતા તેમજ ડેટાબેઝની ભૂતકાળની સ્થિતિની ચોકસાઈને ચકાસી શકે છે (ડેટાબેઝની નવી સ્થિતિના રૂટ વેરિફિકેશન હેશની ગણતરી ભૂતકાળની સ્થિતિને ધ્યાનમાં રાખીને કરવામાં આવે છે. ). નવા રેકોર્ડ્સ ચકાસવા અને ઉમેરવા માટે, એક રેસ્ટફુલ API, તેમજ ક્લાઇ ઇન્ટરફેસ પ્રદાન કરવામાં આવે છે.
• Fulcio (SigStore WebPKI) સર્ટિફિકેશન ઓથોરિટી (રુટ-સીએ) બનાવવા માટેની એક સિસ્ટમ છે જે OpenID કનેક્ટ દ્વારા પ્રમાણિત કરાયેલ ઇમેઇલના આધારે અલ્પજીવી પ્રમાણપત્રો જારી કરે છે. પ્રમાણપત્રનું જીવનકાળ 20 મિનિટ છે, જે દરમિયાન વિકાસકર્તા પાસે ડિજિટલ હસ્તાક્ષર જનરેટ કરવા માટે સમય હોવો આવશ્યક છે (જો પ્રમાણપત્ર પાછળથી હુમલાખોરના હાથમાં આવે છે, તો તે પહેલાથી જ સમાપ્ત થઈ જશે).
• Сosign (કન્ટેનર સાઇનિંગ) એ કન્ટેનર માટે સહીઓ બનાવવા, સહીઓની ચકાસણી કરવા અને OCI (ઓપન કન્ટેનર ઇનિશિયેટિવ) સાથે સુસંગત રીપોઝીટરીઝમાં સહી કરેલ કન્ટેનર મૂકવા માટેની ટૂલકીટ છે.

સોર્સ: opennet.ru