Google ha annunciato la formazione delle prime versioni stabili dei componenti che costituiscono il progetto Sigstore, dichiarato idoneo per la creazione di implementazioni operative. Sigstore sviluppa strumenti e servizi per la verifica del software mediante firme digitali e la gestione di un registro pubblico che attesta la validità delle modifiche (transparency log). Il progetto è sviluppato sotto l'egida della Linux Foundation da Google, Red Hat, Cisco, vmWare, GitHub e HP Enterprise con il supporto dell'organizzazione OpenSSF (Open Source Security Foundation) e dell'Università di Purdue.
Sigstore può essere considerato un equivalente di Let’s Encrypt per il codice, fornendo certificati per garantire il codice con firme digitali e strumenti per automatizzare la verifica. Con Sigstore, gli sviluppatori potranno generare firme digitali per artefatti correlati all'applicazione, come file di rilascio, immagini dei contenitori, manifesti ed eseguibili. Il materiale utilizzato per la firma è registrato in un registro pubblico protetto da modifiche, che può essere utilizzato per la verifica e l'audit.
Invece di chiavi permanenti, Sigstore utilizza chiavi effimere a breve termine, generate in base ai diritti confermati dai fornitori di OpenID Connect (al momento della generazione delle chiavi necessarie per creare una firma digitale, lo sviluppatore si identifica tramite il fornitore di OpenID associato all'email). L'autenticità delle chiavi viene verificata tramite un registro pubblico centralizzato, che consente di accertare che il firmatario sia realmente chi sostiene di essere e che la firma sia stata creata dallo stesso partecipante responsabile delle versioni precedenti.
La prontezza di Sigstore per l'implementazione è dovuta alla realizzazione di due componenti chiave — Rekor 1.0 e Fulcio 1.0, le cui interfacce di programmazione sono state dichiarate stabili e continueranno a mantenere la compatibilità retroattiva. I componenti del servizio sono scritti in Go e distribuiti sotto licenza Apache 2.0.
Il componente Rekor contiene un'implementazione del log per la memorizzazione di metadati certificati con firme digitali, che riflettono informazioni sui progetti. Per garantire l'integrità e la protezione contro la manomissione dei dati retroattivi, viene utilizzata una struttura ad albero chiamata "albero di Merkle" (Merkle Tree), in cui ogni ramo verifica tutti i rami e nodi sottostanti grazie all'hashing congiunto (ad albero). Avere un hash finale consente all'utente di assicurarsi che l'intera cronologia delle operazioni sia corretta e di verificare anche le condizioni passate del database (l'hash di controllo radice del nuovo stato viene calcolato tenendo conto dello stato precedente). Per la verifica e l'aggiunta di nuovi record è disponibile un'API RESTful e un'interfaccia a riga di comando.
Il componente Fulcio (SigStore WebPKI) include un sistema per la creazione di autorità di certificazione (root CA) che emettono certificati a breve termine basati su email, autenticati tramite OpenID Connect. La durata del certificato è di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se successivamente il certificato dovesse finire nelle mani di un malintenzionato, sarà già scaduto). Inoltre, il progetto sviluppa strumenti come Cosign (Container Signing), destinati alla creazione di firme per i container, alla verifica delle firme e alla pubblicazione di container firmati in repository compatibili con OCI (Open Container Initiative).
L'implementazione di Sigstore consente di aumentare la sicurezza dei canali di distribuzione del software e di proteggersi dagli attacchi mirati alla sostituzione di librerie e dipendenze (supply chain). Una delle problematiche chiave della sicurezza nel software open source è la complessità nella verifica della fonte di provenienza del programma e nella validazione del processo di build. Ad esempio, per verificare l'integrità di una release, la maggior parte dei progetti utilizza gli hash, ma spesso le informazioni necessarie per la verifica dell'autenticità sono memorizzate in sistemi non protetti e in repository di codice pubblici, il che consente agli aggressori di sostituire i file necessari per la validazione e di introdurre modifiche malevole senza destare sospetti.
L'uso di firme digitali per la verifica delle versioni non è ancora ampiamente adottato a causa delle difficoltà nella gestione delle chiavi, nella distribuzione delle chiavi pubbliche e nel ritiro delle chiavi compromesse. Perché la verifica abbia senso, è necessario stabilire un processo affidabile e sicuro per la distribuzione delle chiavi pubbliche e delle somme di controllo. Anche in presenza di una firma digitale, molti utenti trascurano la verifica, poiché è necessario dedicare tempo per comprendere il processo di verifica e capire quale chiave sia affidabile. Il progetto Sigstore cerca di semplificare e automatizzare questi processi, fornendo una soluzione pronta e testata.
Fonte: opennet.ru
