A Red Hat \u00e9s a Google, k\u00f6z\u00f6sen a Purdue Egyetemmel, l\u00e9trehozt\u00e1k a Sigstore projektet, amelynek c\u00e9lja a szoftverek digit\u00e1lis al\u00e1\u00edr\u00e1sokkal t\u00f6rt\u00e9n\u0151 ellen\u0151rz\u00e9s\u00e9re \u00e9s a hiteless\u00e9g meger\u0151s\u00edt\u00e9s\u00e9re szolg\u00e1l\u00f3 eszk\u00f6z\u00f6k \u00e9s szolg\u00e1ltat\u00e1sok fejleszt\u00e9se (transparency log). A projekt a Linux Foundation nonprofit szervezet \u00e9gisze alatt fog folytat\u00f3dni. <\/p>\n
A javasolt projekt n\u00f6velni fogja a szoftverek terjeszt\u00e9si csatorn\u00e1inak biztons\u00e1g\u00e1t \u00e9s v\u00e9delmet ny\u00fajt a programkomponensek \u00e9s f\u00fcgg\u0151s\u00e9gek (supply chain) helyettes\u00edt\u00e9se ellen ind\u00edtott t\u00e1mad\u00e1sokkal szemben. Az egyik kulcsfontoss\u00e1g\u00fa biztons\u00e1gi probl\u00e9ma az open source szoftverek eset\u00e9ben a program forr\u00e1s\u00e1nak \u00e9s a build folyamat\u00e1nak ellen\u0151rz\u00e9s\u00e9nek neh\u00e9zs\u00e9ge. P\u00e9ld\u00e1ul a kiad\u00e1sok integrit\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9re a legt\u00f6bb projekt hash funkci\u00f3kat haszn\u00e1l, azonban a hiteless\u00e9g ellen\u0151rz\u00e9s\u00e9hez sz\u00fcks\u00e9ges inform\u00e1ci\u00f3k gyakran v\u00e9dtelen rendszerekben \u00e9s megosztott k\u00f3d-repozit\u00f3riumokban t\u00e1rol\u00f3dnak, amelyeket, ha kompromitt\u00e1lnak, a t\u00e1mad\u00f3k helyettes\u00edteni tudj\u00e1k a sz\u00fcks\u00e9ges ellen\u0151rz\u00e9si f\u00e1jlokat, \u00edgy gyan\u00fa n\u00e9lk\u00fcl beilleszthetnek k\u00e1rt\u00e9kony m\u00f3dos\u00edt\u00e1sokat. <\/p>\n
Csak egy kis r\u00e9szhalmaza a projekteknek haszn\u00e1l digit\u00e1lis al\u00e1\u00edr\u00e1sokat a kiad\u00e1sok terjeszt\u00e9se sor\u00e1n a kulcsok kezel\u00e9s\u00e9nek bonyolults\u00e1ga, a nyilv\u00e1nos kulcsok terjeszt\u00e9se \u00e9s a kompromitt\u00e1lt kulcsok visszavon\u00e1sa miatt. Az \u00e9rv\u00e9nyes hiteles\u00edt\u00e9shez megb\u00edzhat\u00f3 \u00e9s biztons\u00e1gos nyilv\u00e1nos kulcsok \u00e9s hash \u00e9rt\u00e9kek terjeszt\u00e9si folyamata is sz\u00fcks\u00e9ges. M\u00e9g ha digit\u00e1lis al\u00e1\u00edr\u00e1s is l\u00e9tezik, sok felhaszn\u00e1l\u00f3 figyelmen k\u00edv\u00fcl hagyja az ellen\u0151rz\u00e9st, mivel id\u0151t kellene sz\u00e1nniuk az ellen\u0151rz\u00e9si folyamat megismer\u00e9s\u00e9re \u00e9s annak meg\u00e9rt\u00e9s\u00e9re, hogy melyik kulcs \u00e9rdemel bizalmat. <\/p>\n
A Sigstore az anal\u00f3g Let’s Encrypt a k\u00f3d sz\u00e1m\u00e1ra, amely tan\u00fas\u00edtv\u00e1nyokat biztos\u00edt a k\u00f3d digit\u00e1lis al\u00e1\u00edr\u00e1s\u00e1val \u00e9s ellen\u0151rz\u00e9s automatiz\u00e1l\u00e1s\u00e1ra szolg\u00e1l\u00f3 eszk\u00f6zk\u00e9szletet. A Sigstore seg\u00edts\u00e9g\u00e9vel a fejleszt\u0151k digit\u00e1lis al\u00e1\u00edr\u00e1sokat k\u00e9sz\u00edthetnek az alkalmaz\u00e1shoz kapcsol\u00f3d\u00f3 artefaktumokhoz, mint p\u00e9ld\u00e1ul a kiad\u00e1si f\u00e1jlok, kont\u00e9nerk\u00e9pek, manifeszt\u00e1k \u00e9s futtathat\u00f3 f\u00e1jlok. A Sigstore saj\u00e1toss\u00e1ga, hogy az al\u00e1\u00edr\u00e1sra haszn\u00e1lt anyag egy v\u00e9dett, m\u00f3dos\u00edt\u00e1sokt\u00f3l mentes nyilv\u00e1nos napl\u00f3ban jelenik meg, amely ellen\u0151rz\u00e9sre \u00e9s audit\u00e1l\u00e1sra haszn\u00e1lhat\u00f3. <\/p>\n
A Sigstore-ban a tart\u00f3s kulcsok helyett r\u00f6vid \u00e9let\u0171 efemer kulcsokat alkalmaznak, amelyeket az OpenID Connect szolg\u00e1ltat\u00f3k \u00e1ltal igazolt jogosults\u00e1gok alapj\u00e1n gener\u00e1lnak (a kulcsok digit\u00e1lis al\u00e1\u00edr\u00e1s\u00e1hoz a fejleszt\u0151 az OpenID szolg\u00e1ltat\u00f3n kereszt\u00fcl az e-mail c\u00edm\u00e9hez k\u00f6ti mag\u00e1t). A kulcsok val\u00f3s\u00e1gtartalm\u00e1t egy nyilv\u00e1nos k\u00f6zpontos\u00edtott napl\u00f3 ellen\u0151rzi, amely lehet\u0151v\u00e9 teszi, hogy megbizonyosodjon arr\u00f3l, hogy az al\u00e1\u00edr\u00e1s szerz\u0151je val\u00f3ban az, akinek mondja mag\u00e1t, \u00e9s az al\u00e1\u00edr\u00e1st az a r\u00e9sztvev\u0151 hozta l\u00e9tre, aki a kor\u00e1bbi kiad\u00e1sok\u00e9rt is felelt. <\/p>\n
A Sigstore k\u00e9sz szolg\u00e1ltat\u00e1sk\u00e9nt is el\u00e9rhet\u0151, amelyet m\u00e1r lehet haszn\u00e1lni, valamint egy eszk\u00f6zk\u00e9szletet is biztos\u00edt, amely lehet\u0151v\u00e9 teszi hasonl\u00f3 szolg\u00e1ltat\u00e1sok telep\u00edt\u00e9s\u00e9t a saj\u00e1t berendez\u00e9seiken. A szolg\u00e1ltat\u00e1s ingyenesen el\u00e9rhet\u0151 minden fejleszt\u0151 \u00e9s szoftversz\u00e1ll\u00edt\u00f3 sz\u00e1m\u00e1ra, \u00e9s semleges platformon val\u00f3sul meg \u2014 a Linux Foundation-en. A szolg\u00e1ltat\u00e1s minden \u00f6sszetev\u0151je ny\u00edlt forr\u00e1sk\u00f3d\u00fa, Go nyelven \u00edr\u00f3dott, \u00e9s Apache 2.0 licenc alatt terjesztik. <\/p>\n
A fejleszt\u00e9s alatt \u00e1ll\u00f3 \u00f6sszetev\u0151k k\u00f6z\u00fcl eml\u00edthet\u0151k: <\/p>\n