Google ha annunciato la creazione delle prime versioni stabili dei componenti che compongono il progetto Sigstore, dichiarato idoneo per la realizzazione di implementazioni funzionali. Sigstore sviluppa strumenti e servizi per la verifica del software tramite firme digitali e la gestione di un registro pubblico che confermi l'autenticit\u00e0 delle modifiche (transparency log). Il progetto \u00e8 sviluppato sotto l'egida dell'organizzazione no-profit Linux Foundation insieme a Google, Red Hat, Cisco, vmWare, GitHub e HP Enterprise, con il supporto dell'organizzazione OpenSSF (Open Source Security Foundation) e dell'universit\u00e0 di Purdue. <\/p>\n
Sigstore pu\u00f2 essere considerato l'equivalente di Let's Encrypt per il codice, poich\u00e9 fornisce certificati per la validazione del codice attraverso firme digitali e strumenti per l'automazione della verifica. Grazie a Sigstore, gli sviluppatori possono generare firme digitali per artefatti collegati all'applicazione, come file di rilascio, immagini di container, manifesti ed eseguibili. Il materiale utilizzato per la firma viene registrato in un log pubblico protetto da modifiche, utilizzabile per la verifica e l'audit. <\/p>\n
Invece di chiavi permanenti, Sigstore utilizza chiavi efemere a vita breve, generate in base ai diritti convalidati dai fornitori di OpenID Connect (al momento della generazione delle chiavi necessarie per creare una firma digitale, lo sviluppatore si identifica tramite il fornitore di OpenID collegato all'email). L'autenticit\u00e0 delle chiavi \u00e8 verificata tramite un registro centralizzato pubblico, il quale consente di assicurarsi che l'autore della firma sia realmente chi afferma di essere, e che la firma sia stata generata dallo stesso partecipante responsabile dei precedenti rilasci. <\/p>\n
La prontezza di Sigstore per l'implementazione \u00e8 dovuta al rilascio di due componenti chiave: Rekor 1.0 e Fulcio 1.0, le cui interfacce sono state dichiarate stabili e garantiranno compatibilit\u00e0 retroattiva. I componenti del servizio sono scritti in Go e rilasciati sotto licenza Apache 2.0. <\/p>\n
Il componente Rekor contiene l'implementazione di un log per memorizzare metadati convalidati da firme digitali, riflettendo informazioni sui progetti. Per garantire l'integrit\u00e0 e proteggere contro la modifica dei dati retroattivamente, viene utilizzata una struttura ad albero, il \"Albero di Merkle\", in cui ogni ramo verifica tutti i rami e nodi sottostanti grazie a una hash comune (ad albero). Avendo un hash finale, l'utente pu\u00f2 verificare l'integrit\u00e0 dell'intera storia delle operazioni, oltre a quella degli stati passati del database (l'hash di verifica radice del nuovo stato \u00e8 calcolato tenendo conto dello stato precedente). Per la verifica e l'aggiunta di nuovi record viene fornita un'API RESTful, nonch\u00e9 un'interfaccia a riga di comando. <\/p>\n
Il componente Fulcio (SigStore WebPKI) include un sistema per la creazione di autorit\u00e0 di certificazione (root CA) che rilasciano certificati a breve termine basati su email, autenticati tramite OpenID Connect. La durata del certificato \u00e8 di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se successivamente il certificato finisce nelle mani di un malintenzionato, sar\u00e0 gi\u00e0 scaduto). Inoltre, il progetto sta sviluppando uno strumento chiamato Cosign (Container Signing), destinato a generare firme per i container, verificare firme e pubblicare container firmati in repository compatibili con OCI (Open Container Initiative). <\/p>\n
L'implementazione di Sigstore consente di aumentare la sicurezza dei canali di distribuzione software e proteggersi da attacchi mirati alla sostituzione di librerie e dipendenze (supply chain). Una delle questioni chiave in materia di sicurezza nel software open source \u00e8 la difficolt\u00e0 di verificare la fonte da cui proviene il programma e di convalidare il processo di compilazione. Ad esempio, per verificare l'integrit\u00e0 di un rilascio, la maggior parte dei progetti utilizza hash, ma spesso le informazioni necessarie per convalidare l'autenticit\u00e0 sono conservate in sistemi non protetti e in repository pubblici con codice, la cui compromissione consente agli attaccanti di sostituire i file necessari per la verifica e, senza suscitare sospetti, inserire modifiche dannose. <\/p>\n