A Google bejelentette a Sigstore projektet alkotó komponenst biztosító első stabil kiadásokat, amelyeket alkalmasnak nyilvánítottak működő bevezetések létrehozására. A Sigstore eszközöket és szolgáltatásokat fejleszt a szoftverek hitelesítéséhez digitális aláírásokkal és egy nyilvános napló vezetésével, amely igazolja a módosítások valódiságát (transparency log). A projektet a Linux Foundation nonprofit szervezetének irányítása alatt fejlesztik a Google, a Red Hat, a Cisco, a vmWare, a GitHub és a HP Enterprise cégek, valamint az OpenSSF (Open Source Security Foundation) szervezet és a Purdue Egyetem részvételével.
A Sigstore-t a kód Let’s Encrypt-jeként is felfoghatjuk, amely digitális aláírásokkal certifikáló tanúsítványokat biztosít a kódhoz, valamint automatizálási eszközöket kínál a hitelesítéshez. A Sigstore segítségével a fejlesztők digitális aláírásokat hozhatnak létre az alkalmazással kapcsolatos artefaktumok számára, mint például kiadási fájlok, konténerképek, manifestek és végrehajtható fájlok. Az aláírásra használt anyag egy védett, módosítástól védett nyilvános naplóba kerül, amely használható ellenőrzésre és auditálásra.
A Sigstore-ban nem állandó kulcsokat használnak, hanem rövid életű efemer kulcsokat, amelyeket az OpenID Connect szolgáltatók által megerősített jogosultságok alapján generálnak (a digitális aláírás létrehozásához szükséges kulcsok generálásakor a fejlesztő az OpenID szolgáltatón keresztül az email címével azonosítja magát). A kulcsok valódisága egy központosított nyilvános napló alapján ellenőrizhető, amely lehetővé teszi annak megállapítását, hogy az aláírás szerzője valóban az, akinek mondja magát, és hogy az aláírást ugyanaz a résztvevő hozta létre, akik a korábbi kiadásokért felelős volt.
A Sigstore bevezetésre való alkalmasságát az elsődleges komponensek — Rekor 1.0 és Fulcio 1.0 — kiadásának létrejötte biztosítja, amelyek programozási interfészei stabilnak lettek nyilvánítva és a jövőben is megtartják a visszafelé kompatibilitást. A szolgáltatás komponensei Go nyelven íródtak és az Apache 2.0 licenc alatt kerülnek terjesztésre.
A Rekor component contains a log implementation for storing metadata certified with digital signatures, reflecting information about projects. To ensure integrity and protect against retroactive data distortion, a tree structure known as a 'Merkle Tree' is used, where each branch verifies all underlying branches and nodes through collaborative (tree-like) hashing. With the final hash, a user can confirm the correctness of the entire transaction history as well as the accuracy of past database states (the root verification hash of the new state is calculated considering the previous state). A RESTful API is provided for verification and adding new records, as well as a command line interface.
The Fulcio component (SigStore WebPKI) includes a system for creating certification authorities (root CA) that issue short-lived certificates based on email authenticated via OpenID Connect. The certificate's lifetime is 20 minutes, during which the developer must create a digital signature (if the certificate later ends up in the hands of an attacker, it will already be expired). Additionally, the project is developing the Cosign (Container Signing) toolkit designed for creating signatures for containers, verifying signatures, and placing signed containers in OCI (Open Container Initiative) compatible repositories.
Implementing Sigstore enables enhancing the security of software distribution channels and protecting against attacks aimed at substituting libraries and dependencies (supply chain). One of the key security problems in open-source software is the difficulty in verifying the source of obtaining the program and validating the build process. For example, to check the integrity of a release, most projects use hashes, but often the information needed for authenticity verification is stored on unprotected systems and in shared code repositories, where, as a result of compromise, attackers can substitute the necessary verification files and implement malicious changes without raising suspicion.
A digitális aláírások alkalmazása a kiadások hitelesítésére még nem terjedt el széles körben, mivel nehézségek merülnek fel a kulcsok kezelésében, a nyilvános kulcsok terjesztésében és a kompromittált kulcsok visszavonásában. Ahhoz, hogy a hitelesítés értelmes legyen, megbízható és biztonságos folyamatot kell létrehozni a nyilvános kulcsok és ellenőrző összegek terjesztésére. Még digitális aláírás jelenlétében is sok felhasználó figyelmen kívül hagyja a hitelesítést, mert időt kell áldozni a hitelesítési folyamat megismerésére és arra, hogy megértsék, melyik kulcs megbízható. A Sigstore projekt megpróbálja egyszerűsíteni és automatizálni ezeket a folyamatokat, kész és bevált megoldást kínálva.
Forrás: opennet.ru
