Google ha annunciato la creazione delle prime versioni stabili dei componenti che compongono il progetto Sigstore, dichiarato idoneo per la realizzazione di implementazioni funzionali. Sigstore sviluppa strumenti e servizi per la verifica del software tramite firme digitali e la gestione di un registro pubblico che confermi l'autenticità delle modifiche (transparency log). Il progetto è sviluppato sotto l'egida dell'organizzazione no-profit Linux Foundation insieme a Google, Red Hat, Cisco, vmWare, GitHub e HP Enterprise, con il supporto dell'organizzazione OpenSSF (Open Source Security Foundation) e dell'università di Purdue.
Sigstore può essere considerato come l'equivalente di Let’s Encrypt per il codice, fornendo certificati per la convalida del codice attraverso firme digitali e strumenti per automatizzare il controllo. Con Sigstore, gli sviluppatori potranno generare firme digitali per artefatti legati all'applicazione, come file di rilascio, immagini di container, manifesti ed eseguibili. Il materiale utilizzato per la firma è registrato in un registro pubblico protetto da manomissioni, utilizzabile per verifiche e audit.
Invece di chiavi permanenti, Sigstore utilizza chiavi efemere a vita breve, generate in base ai diritti convalidati dai fornitori di OpenID Connect (al momento della generazione delle chiavi necessarie per creare una firma digitale, lo sviluppatore si identifica tramite il fornitore di OpenID collegato all'email). L'autenticità delle chiavi è verificata tramite un registro centralizzato pubblico, il quale consente di assicurarsi che l'autore della firma sia realmente chi afferma di essere, e che la firma sia stata generata dallo stesso partecipante responsabile dei precedenti rilasci.
La disponibilità di Sigstore per l'implementazione è dovuta alla creazione delle versioni di due componenti chiave — Rekor 1.0 e Fulcio 1.0, le cui interfacce di programmazione sono state dichiarate stabili e manterranno la retrocompatibilità in futuro. I componenti del servizio sono scritti in linguaggio Go e distribuiti con licenza Apache 2.0.
Il componente Rekor contiene un'implementazione del log per la memorizzazione di metadati certificati con firme digitali che riflettono informazioni sui progetti. Per garantire l'integrità e proteggere dai cambiamenti retroattivi dei dati, viene utilizzata una struttura ad albero nota come "albero di Merkle" (Merkle Tree), in cui ogni ramo verifica tutti i rami e i nodi sottostanti grazie all'hashing congiunto (struttura ad albero). Con un hash finale, l'utente può assicurarsi della correttezza dell'intera storia delle operazioni, nonché della correttezza dei precedenti stati del database (l'hash di verifica radice del nuovo stato del database viene calcolato tenendo conto dello stato precedente). Un'API RESTful è disponibile per la verifica e l'aggiunta di nuove registrazioni, così come un'interfaccia a riga di comando.
Il componente Fulcio (SigStore WebPKI) include un sistema per la creazione di autorità di certificazione (root CA) che rilasciano certificati a breve termine basati su email, autenticati tramite OpenID Connect. La durata del certificato è di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se successivamente il certificato finisce nelle mani di un malintenzionato, sarà già scaduto). Inoltre, il progetto sta sviluppando uno strumento chiamato Cosign (Container Signing), destinato a generare firme per i container, verificare firme e pubblicare container firmati in repository compatibili con OCI (Open Container Initiative).
L'implementazione di Sigstore consente di aumentare la sicurezza dei canali di distribuzione software e proteggersi da attacchi mirati alla sostituzione di librerie e dipendenze (supply chain). Una delle questioni chiave in materia di sicurezza nel software open source è la difficoltà di verificare la fonte da cui proviene il programma e di convalidare il processo di compilazione. Ad esempio, per verificare l'integrità di un rilascio, la maggior parte dei progetti utilizza hash, ma spesso le informazioni necessarie per convalidare l'autenticità sono conservate in sistemi non protetti e in repository pubblici con codice, la cui compromissione consente agli attaccanti di sostituire i file necessari per la verifica e, senza suscitare sospetti, inserire modifiche dannose.
L'uso delle firme digitali per la verifica delle versioni non ha ancora trovato una diffusione capillare a causa delle difficoltà nella gestione delle chiavi, nella distribuzione delle chiavi pubbliche e nel ritiro delle chiavi compromesse. Affinché la verifica abbia senso, è necessario organizzare anche un processo affidabile e sicuro per la distribuzione delle chiavi pubbliche e dei checksum. Anche in presenza di una firma digitale, molti utenti ignorano la verifica, poiché è necessario spendere tempo per comprendere il processo di verifica e capire quale chiave meriti fiducia. Il progetto Sigstore cerca di semplificare e automatizzare questi processi, offrendo una soluzione pronta e collaudata.
Fonte: opennet.ru
