Tvrtke Red Hat i Google, u suradnji s Purdue University, osnovale su projekt Sigstore, koji je usmjeren na razvoj alata i usluga za verifikaciju softvera putem digitalnih potpisa i vođenje javnog registra za potvrdu autentičnosti (transparency log). Projekt će se razvijati pod okriljem neprofitne organizacije Linux Foundation.
Predloženi projekt omogućit će povećanje sigurnosti kanala distribucije programa i zaštitu od napada usmjerenih na zamjenu softverskih komponenti i ovisnosti (supply chain). Jedan od ključnih sigurnosnih problema u otvorenom softveru je složenost provjere izvora odakle je program preuzet i verifikacija procesa izrade. Na primjer, za provjeru cjelovitosti izdanja većina projekata koristi heševe, ali često potrebne informacije za verifikaciju pohranjuju se na nezaštićenim sustavima i u javnim repozitorijima koda, što omogućuje napadačima da zamijene potrebne datoteke za verifikaciju i, bez izazivanja sumnje, unesu zloćudne promjene.
Samo mali dio projekata koristi digitalne potpise prilikom distribucije izdanja zbog poteškoća u upravljanju ključevima, distribuciji javnih ključeva i opozivu kompromitiranih ključeva. Da bi verifikacija imala smisla, potrebno je organizirati pouzdan i siguran proces distribucije javnih ključeva i kontrolnih zbrojeva. Čak i kada postoje digitalni potpisi, mnogi korisnici ignoriraju provjeru jer je potrebno uložiti vrijeme kako bi se proučio proces verifikacije i shvatilo koji ključ zaslužuje povjerenje.
Sigstore se predstavlja kao ekvivalent Let’s Encryptra za kod, pružajući certifikate za ovjeru koda digitalnim potpisima i alati za automatizaciju provjere. Pomoću Sigstorea, programeri će moći generirati digitalne potpise za srodne artefakte aplikacije, poput datoteka s izdanjima, slika kontejnera, manifestacija i izvršnih datoteka. Osobitost Sigstorea je da se materijal koji se koristi za potpisivanje odražava u javnom registru zaštićenom od izmjena, koji se može koristiti za provjeru i reviziju.
Umjesto stalnih ključeva, Sigstore koristi kratkovječne efemerne ključeve koji se generiraju na temelju ovlasti potvrđenih od strane OpenID Connect pružatelja (prilikom generiranja ključeva za digitalni potpis, programer se identificira putem OpenID pružatelja povezanog s emailom). Autenticitet ključeva provjerava se putem javnog centraliziranog dnevnika, koji omogućuje potvrdu da je potpisnik onaj za koga se predstavlja i da je potpis stvorio isti sudionik koji je bio odgovoran za prethodna izdanja.
Sigstore nudi i gotovu uslugu koja je već dostupna, kao i skup alata koji omogućuju postavljanje sličnih usluga na vlastitoj opremi. Usluga je besplatna za sve programere i pružatelje softvera, a implementira se na neutralnoj platformi — Linux Foundation. Sve komponente usluge su otvorenog koda, napisane na programskom jeziku Go i distribuirane pod licencom Apache 2.0.
Od razvijanih komponenti, ističu se:
- Rekor — implementacija dnevnika za pohranu ovjerenih metapodataka digitalnim potpisima, koja odražava informacije o projektima. Za osiguranje cjelovitosti i zaštitu od retroaktivnog iskrivljavanja podataka koristi se stablo struktura ‘Merkle Tree’, u kojoj svaka grana verifikuje sve niže grane i čvorove, zahvaljujući zajedničkom (drvenastom) hashiranju. Posjedujući konačni hash, korisnik se može uvjeriti u ispravnost cijele povijesti operacija, kao i u ispravnost prethodnih stanja baze podataka (korijenski provjeravajući hash novog stanja baze izračunava se uzimajući u obzir prethodno stanje). Za verifikaciju i dodavanje novih zapisa dostupno je Restful API, kao i cli sučelje.
- Fulcio (SigStore WebPKI) — sustav za izradu certifikacijskih centara (Root-CA), koji izdaju kratkovječne certifikate na temelju email adresa, autentificiranih putem OpenID Connect. Vrijeme trajanja certifikata je 20 minuta, unutar kojeg programer mora stvoriti digitalni potpis (ako certifikat kasnije dođe u ruke zlonamjernika, već će biti istekao).
- Cosign (Container Signing) — alat za stvaranje potpisa za kontejnere, provjeru potpisa i pohranu potpisanih kontejnera u repozitorije, kompatibilne s OCI (Open Container Initiative).
Izvor: opennet.ru
