Google ha annunciato la formazione delle prime versioni stabili dei componenti che costituiscono il progetto Sigstore, dichiarato idoneo per la creazione di implementazioni operative. Sigstore sviluppa strumenti e servizi per la verifica del software mediante firme digitali e la gestione di un registro pubblico che attesta la validit\u00e0 delle modifiche (transparency log). Il progetto \u00e8 sviluppato sotto l'egida della Linux Foundation da Google, Red Hat, Cisco, vmWare, GitHub e HP Enterprise con il supporto dell'organizzazione OpenSSF (Open Source Security Foundation) e dell'Universit\u00e0 di Purdue. <\/p>\n
Sigstore pu\u00f2 essere considerato l'equivalente di Let's Encrypt per il codice, fornendo certificati per la firma del codice con firme digitali e strumenti per automatizzare la verifica. Grazie a Sigstore, gli sviluppatori possono generare firme digitali per artefatti legati all'applicazione, come file di rilascio, immagini di container, manifesti e file eseguibili. Il materiale firmato \u00e8 registrato in un log pubblico protetto da modifiche, utilizzabile per la verifica e l'audit. <\/p>\n
Invece di chiavi permanenti, Sigstore utilizza chiavi effimere a breve termine, generate in base ai diritti confermati dai fornitori di OpenID Connect (al momento della generazione delle chiavi necessarie per creare una firma digitale, lo sviluppatore si identifica tramite il fornitore di OpenID associato all'email). L'autenticit\u00e0 delle chiavi viene verificata tramite un registro pubblico centralizzato, che consente di accertare che il firmatario sia realmente chi sostiene di essere e che la firma sia stata creata dallo stesso partecipante responsabile delle versioni precedenti. <\/p>\n
La prontezza di Sigstore per l'implementazione \u00e8 dovuta al completamento di due componenti chiave - Rekor 1.0 e Fulcio 1.0, le cui interfacce di programmazione sono state dichiarate stabili e manterranno la retrocompatibilit\u00e0. I componenti del servizio sono scritti nel linguaggio Go e distribuiti con licenza Apache 2.0. <\/p>\n
Il componente Rekor contiene un'implementazione del log per la memorizzazione di metadati certificati con firme digitali, riflettendo informazioni sui progetti. Per garantire l'integrit\u00e0 e proteggere i dati da modifiche retroattive, viene utilizzata una struttura ad albero chiamata 'albero di Merkle', in cui ogni ramo verifica tutti i rami e nodi sottostanti grazie all'hashing collettivo (ad albero). Avendo un hash finale, l'utente pu\u00f2 verificare la correttezza dell'intera storia delle operazioni, nonch\u00e9 la correttezza degli stati passati del database (l'hash di controllo radice del nuovo stato del database viene calcolato tenendo conto dello stato precedente). Per la verifica e l'aggiunta di nuove registrazioni \u00e8 fornito un API RESTful, cos\u00ec come un'interfaccia della riga di comando. <\/p>\n
Il componente Fulcio (SigStore WebPKI) include un sistema per la creazione di autorit\u00e0 di certificazione (root CA) che emettono certificati a breve termine basati su email, autenticati tramite OpenID Connect. La durata del certificato \u00e8 di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se successivamente il certificato dovesse finire nelle mani di un malintenzionato, sar\u00e0 gi\u00e0 scaduto). Inoltre, il progetto sviluppa strumenti come Cosign (Container Signing), destinati alla creazione di firme per i container, alla verifica delle firme e alla pubblicazione di container firmati in repository compatibili con OCI (Open Container Initiative). <\/p>\n
L'implementazione di Sigstore consente di aumentare la sicurezza dei canali di distribuzione del software e di proteggersi dagli attacchi mirati alla sostituzione di librerie e dipendenze (supply chain). Una delle problematiche chiave della sicurezza nel software open source \u00e8 la complessit\u00e0 nella verifica della fonte di provenienza del programma e nella validazione del processo di build. Ad esempio, per verificare l'integrit\u00e0 di una release, la maggior parte dei progetti utilizza gli hash, ma spesso le informazioni necessarie per la verifica dell'autenticit\u00e0 sono memorizzate in sistemi non protetti e in repository di codice pubblici, il che consente agli aggressori di sostituire i file necessari per la validazione e di introdurre modifiche malevole senza destare sospetti. <\/p>\n