{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat i Google predstavili Su\u010delje za digitalnu verifikaciju koda Sigstore","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Tvrtke Red Hat i Google, u suradnji s Purdue University, osnovale su projekt Sigstore, koji je usmjeren na razvoj alata i usluga za verifikaciju softvera putem digitalnih potpisa i vo\u0111enje javnog registra za potvrdu autenti\u010dnosti (transparency log). Projekt \u0107e se razvijati pod okriljem neprofitne organizacije Linux Foundation. <\/p>\n

Predlo\u017eeni projekt omogu\u0107it \u0107e pove\u0107anje sigurnosti kanala distribucije programa i za\u0161titu od napada usmjerenih na zamjenu softverskih komponenti i ovisnosti (supply chain). Jedan od klju\u010dnih sigurnosnih problema u otvorenom softveru je slo\u017eenost provjere izvora odakle je program preuzet i verifikacija procesa izrade. Na primjer, za provjeru cjelovitosti izdanja ve\u0107ina projekata koristi he\u0161eve, ali \u010desto potrebne informacije za verifikaciju pohranjuju se na neza\u0161ti\u0107enim sustavima i u javnim repozitorijima koda, \u0161to omogu\u0107uje napada\u010dima da zamijene potrebne datoteke za verifikaciju i, bez izazivanja sumnje, unesu zlo\u0107udne promjene. <\/p>\n

Samo mali dio projekata koristi digitalne potpise prilikom distribucije izdanja zbog pote\u0161ko\u0107a u upravljanju klju\u010devima, distribuciji javnih klju\u010deva i opozivu kompromitiranih klju\u010deva. Da bi verifikacija imala smisla, potrebno je organizirati pouzdan i siguran proces distribucije javnih klju\u010deva i kontrolnih zbrojeva. \u010cak i kada postoje digitalni potpisi, mnogi korisnici ignoriraju provjeru jer je potrebno ulo\u017eiti vrijeme kako bi se prou\u010dio proces verifikacije i shvatilo koji klju\u010d zaslu\u017euje povjerenje. <\/p>\n

Sigstore se predstavlja kao alternativa Let's Encrypt za kod, pru\u017eaju\u0107i certifikate za potpisivanje koda digitalnim potpisima i alat za automatizaciju provjere. Uz pomo\u0107 Sigstore, programeri \u0107e mo\u0107i generirati digitalne potpise za artefakte vezane uz aplikaciju, poput datoteka s izdanjima, slika kontejnera, manifestacija i izvr\u0161nih datoteka. Karakteristika Sigstorea je to \u0161to je materijal kori\u0161ten za potpisivanje zabilje\u017een u za\u0161ti\u0107enoj javnoj evidenciji koja se mo\u017ee koristiti za provjeru i reviziju. <\/p>\n

Umjesto stalnih klju\u010deva, Sigstore koristi kratkovje\u010dne efemerne klju\u010deve koji se generiraju na temelju ovlasti potvr\u0111enih od strane OpenID Connect pru\u017eatelja (prilikom generiranja klju\u010deva za digitalni potpis, programer se identificira putem OpenID pru\u017eatelja povezanog s emailom). Autenticitet klju\u010deva provjerava se putem javnog centraliziranog dnevnika, koji omogu\u0107uje potvrdu da je potpisnik onaj za koga se predstavlja i da je potpis stvorio isti sudionik koji je bio odgovoran za prethodna izdanja. <\/p>\n

Sigstore nudi gotovu uslugu koja se ve\u0107 mo\u017ee koristiti, kao i skup alata koji omogu\u0107uju implementaciju sli\u010dnih usluga na vlastitoj opremi. Usluga je besplatna za sve programere i dobavlja\u010de softvera, a postavljena je na neutralnoj platformi \u2014 Linux Foundation. Sve komponente usluga su otvorene, napisane na Go jeziku i distribuirane pod Apache 2.0 licencom. <\/p>\n

Od razvijanih komponenti, isti\u010du se: <\/p>\n