Tvrtka Google je objavila prve stabilne verzije komponenti koje \u010dine projekt Sigstore, koji je progla\u0161en pogodnim za stvaranje radnih implementacija. Sigstore razvija alate i usluge za verifikaciju softvera pomo\u0107u digitalnih potpisa i odr\u017eavanje javnog registra koji potvr\u0111uje autenti\u010dnost promjena (transparency log). Projekt se razvija pod okriljem neprofitne organizacije Linux Foundation u suradnji s kompanijama Google, Red Hat, Cisco, vmWare, GitHub i HP Enterprise, uz sudjelovanje organizacije OpenSSF (Open Source Security Foundation) i Sveu\u010dili\u0161ta Purdue. <\/p>\n
Sigstore se mo\u017ee smatrati ekvivalentom Let's Encrypt za kod, jer pru\u017ea certifikate za ovjeru koda digitalnim potpisima i alate za automatizaciju provjere. Uz pomo\u0107 Sigstore, programeri \u0107e mo\u0107i formirati digitalne potpise za artefakte povezane s aplikacijom, kao \u0161to su datoteke za izdanja, slike kontejnera, manifesti i izvr\u0161ne datoteke. Materijal kori\u0161ten za potpisivanje odra\u017eava se u za\u0161ti\u0107enoj javnoj evidenciji koja se mo\u017ee koristiti za provjeru i reviziju. <\/p>\n
Umjesto trajnih klju\u010deva, Sigstore koristi kratkotrajne efemerne klju\u010deve koji se generiraju na temelju ovla\u0161tenja potvr\u0111enih od strane pru\u017eatelja usluga OpenID Connect (u trenutku generiranja klju\u010deva potrebnih za izradu digitalnog potpisa, programer se identificira putem OpenID pru\u017eatelja povezanog s email adresom). Autenti\u010dnost klju\u010deva provjerava se putem javnog centraliziranog registra, koji omogu\u0107uje potvrdu da je autor potpisa doista osoba koja se predstavlja i da je potpis stvorio isti sudionik koji je bio odgovoran za prethodna izdanja. <\/p>\n
Spremnost Sigstore za implementaciju omogu\u0107ena je formiranjem izdanja dva klju\u010dna komponente \u2014 Rekor 1.0 i Fulcio 1.0, \u010diji su programski su\u010delja progla\u0161ena stabilnima i zadr\u017eavaju unatradnu kompatibilnost. Komponente servisa napisane su na jeziku Go i distribuiraju se pod licencom Apache 2.0. <\/p>\n
Komponenta Rekor sadr\u017ei implementaciju evidencije za pohranu ovjerenih digitalnim potpisima metapodataka koji odra\u017eavaju informacije o projektima. Za osiguranje cjelovitosti i za\u0161titu od naknadnog iskrivljenja podataka koristi se stablo 'Merkle Tree', u kojem svaka grana provjerava sve ni\u017ee grane i \u010dvorove zahvaljuju\u0107i zajedni\u010dkom (stablovitom) he\u0161iranju. Imati kona\u010dni he\u0161, korisnik mo\u017ee potvrditi ispravnost cijele povijesti operacija, kao i ispravnost prethodnih stanja baze podataka (korijenski provjeravaju\u0107i he\u0161 novog stanja baze izra\u010dunava se uzimaju\u0107i u obzir pro\u0161lo stanje). Za provjeru i dodavanje novih unosa dostupan je RESTful API, kao i su\u010delje naredbenog retka. <\/p>\n
Komponenta Fulcio (SigStore WebPKI) uklju\u010duje sustav za kreiranje certifikacijskih centara (root CA) koji izdaju kratkotrajne certifikate temeljem emaila, autentificiranog putem OpenID Connect. Vrijeme trajanja certifikata iznosi 20 minuta, unutar kojih programer mora stvoriti digitalni potpis (ako certifikat u budu\u0107nosti do\u0111e u ruke zlonamjernika, bit \u0107e ve\u0107 istekao). Dodatno, projekt razvija alatni set Cosign (Container Signing) namijenjen za stvaranje potpisa za kontejnere, provjeru potpisa i pohranu potpisanih kontejnera u repozitorijima kompatibilnim s OCI (Open Container Initiative). <\/p>\n
Implementacija Sigstore omogu\u0107uje pove\u0107anje sigurnosti kanala distribucije softvera i za\u0161titu od napada usmjerenih na zamjenu biblioteka i ovisnosti (supply chain). Jedan od klju\u010dnih problema sigurnosti u otvorenom softveru je slo\u017eenost provjere izvora dobivanja programa i verifikacije procesa izgradnje. Na primjer, za provjeru cjelovitosti izdanja ve\u0107ina projekata koristi he\u0161eve, ali \u010desto potrebne informacije za provjeru autenti\u010dnosti pohranjuju se na neza\u0161ti\u0107enim sustavima i u zajedni\u010dkim repozitorijima s kodom, a kao rezultat kompromitacije, napada\u010di mogu zamijeniti potrebne datoteke za verifikaciju i, ne izazivaju\u0107i sumnju, implementirati zlonamjerne promjene. <\/p>\n