Red Hat और Google ने क्रिप्टोग्राफ़िक कोड सत्यापन के लिए एक सेवा, सिगस्टोर पेश की

Red Hat और Google ने, पर्ड्यू विश्वविद्यालय के साथ मिलकर, सिगस्टोर परियोजना की स्थापना की, जिसका उद्देश्य डिजिटल हस्ताक्षरों का उपयोग करके सॉफ़्टवेयर को सत्यापित करने और प्रामाणिकता (पारदर्शिता लॉग) की पुष्टि करने के लिए एक सार्वजनिक लॉग बनाए रखने के लिए उपकरण और सेवाएँ बनाना है। यह परियोजना गैर-लाभकारी संगठन लिनक्स फाउंडेशन के तत्वावधान में विकसित की जाएगी।

प्रस्तावित परियोजना सॉफ्टवेयर वितरण चैनलों की सुरक्षा में सुधार करेगी और सॉफ्टवेयर घटकों और निर्भरताओं (आपूर्ति श्रृंखला) को बदलने के उद्देश्य से हमलों से रक्षा करेगी। ओपन सोर्स सॉफ़्टवेयर में प्रमुख सुरक्षा समस्याओं में से एक प्रोग्राम के स्रोत को सत्यापित करने और निर्माण प्रक्रिया को सत्यापित करने में कठिनाई है। उदाहरण के लिए, अधिकांश प्रोजेक्ट किसी रिलीज़ की अखंडता को सत्यापित करने के लिए हैश का उपयोग करते हैं, लेकिन अक्सर प्रमाणीकरण के लिए आवश्यक जानकारी असुरक्षित सिस्टम और साझा कोड रिपॉजिटरी में संग्रहीत की जाती है, जिसके परिणामस्वरूप हमलावर सत्यापन के लिए आवश्यक फ़ाइलों से समझौता कर सकते हैं और दुर्भावनापूर्ण परिवर्तन ला सकते हैं। बिना किसी संदेह के.

कुंजियों को प्रबंधित करने, सार्वजनिक कुंजियों को वितरित करने और समझौता की गई कुंजियों को रद्द करने में कठिनाइयों के कारण रिलीज़ वितरित करते समय परियोजनाओं का केवल एक छोटा हिस्सा ही डिजिटल हस्ताक्षर का उपयोग करता है। सत्यापन को सार्थक बनाने के लिए, सार्वजनिक कुंजी और चेकसम वितरित करने के लिए एक विश्वसनीय और सुरक्षित प्रक्रिया को व्यवस्थित करना भी आवश्यक है। डिजिटल हस्ताक्षर के साथ भी, कई उपयोगकर्ता सत्यापन को अनदेखा कर देते हैं क्योंकि उन्हें सत्यापन प्रक्रिया का अध्ययन करने और यह समझने में समय व्यतीत करना पड़ता है कि कौन सी कुंजी भरोसेमंद है।

सिगस्टोर को कोड के लिए लेट्स एनक्रिप्ट के समकक्ष माना जाता है, जो डिजिटल रूप से हस्ताक्षरित कोड के लिए प्रमाण पत्र और सत्यापन को स्वचालित करने के लिए उपकरण प्रदान करता है। सिगस्टोर के साथ, डेवलपर्स एप्लिकेशन-संबंधित कलाकृतियों जैसे रिलीज़ फ़ाइलें, कंटेनर छवियां, मैनिफ़ेस्ट और निष्पादन योग्य पर डिजिटल रूप से हस्ताक्षर कर सकते हैं। सिगस्टोर की एक विशेष विशेषता यह है कि हस्ताक्षर करने के लिए उपयोग की जाने वाली सामग्री एक छेड़छाड़-प्रूफ सार्वजनिक लॉग में दिखाई देती है जिसका उपयोग सत्यापन और ऑडिटिंग के लिए किया जा सकता है।

स्थायी कुंजियों के बजाय, सिगस्टोर अल्पकालिक अल्पकालिक कुंजियों का उपयोग करता है, जो ओपनआईडी कनेक्ट प्रदाताओं द्वारा पुष्टि किए गए क्रेडेंशियल्स के आधार पर उत्पन्न होते हैं (डिजिटल हस्ताक्षर के लिए कुंजी उत्पन्न करने के समय, डेवलपर ईमेल से जुड़े ओपनआईडी प्रदाता के माध्यम से खुद की पहचान करता है)। कुंजियों की प्रामाणिकता को सार्वजनिक केंद्रीकृत लॉग का उपयोग करके सत्यापित किया जाता है, जिससे यह सत्यापित करना संभव हो जाता है कि हस्ताक्षर का लेखक वही है जो वह होने का दावा करता है और हस्ताक्षर उसी प्रतिभागी द्वारा किया गया था जो पिछले रिलीज के लिए जिम्मेदार था।

सिगस्टोर एक तैयार सेवा प्रदान करता है जिसका आप पहले से ही उपयोग कर सकते हैं, और उपकरणों का एक सेट जो आपको अपने उपकरणों पर समान सेवाओं को तैनात करने की अनुमति देता है। यह सेवा सभी डेवलपर्स और सॉफ़्टवेयर प्रदाताओं के लिए मुफ़्त है, और इसे एक तटस्थ प्लेटफ़ॉर्म - लिनक्स फ़ाउंडेशन पर तैनात किया गया है। सेवा के सभी घटक खुले स्रोत हैं, गो में लिखे गए हैं और अपाचे 2.0 लाइसेंस के तहत वितरित किए गए हैं।

विकसित घटकों में से हम नोट कर सकते हैं:

• रेकोर परियोजनाओं के बारे में जानकारी दर्शाते हुए डिजिटल रूप से हस्ताक्षरित मेटाडेटा संग्रहीत करने के लिए एक लॉग कार्यान्वयन है। अखंडता सुनिश्चित करने और पूर्वव्यापी डेटा भ्रष्टाचार से बचाने के लिए, एक मर्कल ट्री वृक्ष संरचना का उपयोग किया जाता है, जिसमें प्रत्येक शाखा सभी अंतर्निहित शाखाओं और नोड्स को सत्यापित करती है, संयुक्त (पेड़ जैसी) हैशिंग के लिए धन्यवाद। अंतिम हैश होने पर, उपयोगकर्ता संचालन के पूरे इतिहास की शुद्धता के साथ-साथ डेटाबेस की पिछली स्थिति की शुद्धता को सत्यापित कर सकता है (डेटाबेस की नई स्थिति के रूट सत्यापन हैश की गणना पिछली स्थिति को ध्यान में रखकर की जाती है) ). सत्यापित करने और नए रिकॉर्ड जोड़ने के लिए, एक रेस्टफुल एपीआई, साथ ही एक सीएलआई इंटरफ़ेस प्रदान किया जाता है।
• फुलसियो (सिगस्टोर वेबपीकेआई) प्रमाणन प्राधिकरण (रूट-सीए) बनाने की एक प्रणाली है जो ओपनआईडी कनेक्ट के माध्यम से प्रमाणित ईमेल के आधार पर अल्पकालिक प्रमाण पत्र जारी करती है। प्रमाणपत्र का जीवनकाल 20 मिनट है, जिसके दौरान डेवलपर के पास डिजिटल हस्ताक्षर उत्पन्न करने के लिए समय होना चाहिए (यदि प्रमाणपत्र बाद में किसी हमलावर के हाथ में पड़ जाता है, तो यह पहले ही समाप्त हो जाएगा)।
• Сosign (कंटेनर साइनिंग) कंटेनरों के लिए हस्ताक्षर उत्पन्न करने, हस्ताक्षर सत्यापित करने और हस्ताक्षरित कंटेनरों को OCI (ओपन कंटेनर इनिशिएटिव) के साथ संगत रिपॉजिटरी में रखने के लिए एक टूलकिट है।

स्रोत: opennet.ru