{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Il progetto gittuf sviluppa un sistema di protezione crittografica per i repository Git.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 disponibile il rilascio del progetto gittuf 0.4, che sviluppa un sistema gerarchico di verifica del contenuto dei repository Git, consentendo di ridurre i rischi in situazioni di compromissione di singoli sviluppatori che hanno accesso al repository. Gittuf fornisce un ulteriore strato di sicurezza a Git e un insieme di strumenti per gestire le chiavi di tutti gli sviluppatori con accesso al repository e per stabilire regole di accesso per branch, tag e singoli file. Il codice del progetto \u00e8 scritto in Go e distribuito sotto la licenza Apache 2.0. Il progetto \u00e8 attualmente in fase attiva di sviluppo e presenta una qualit\u00e0 di rilascio alfa, adatta per esperimenti, ma non ancora pronta per implementazioni in produzione. <\/p>\n
Le informazioni e gli artefatti che forniscono una verifica aggiuntiva delle modifiche apportate sono memorizzati nel deposito oggetti Git in uno spazio dei nomi specifico per gittuf, il che consente di mantenere la retrocompatibilit\u00e0 con gli strumenti e i servizi esistenti, inclusi GitHub e GitLab. Quando si utilizzano strumenti senza supporto per gittuf, il repository rimane completamente accessibile, ma \u00e8 limitata la possibilit\u00e0 di una verifica avanzata della sua integrit\u00e0. L'architettura di gittuf si basa su elementi collaudati del framework TUF (The Update Framework), utilizzato per proteggere i processi di aggiornamento in progetti come Docker, Fuchsia, AGL (Automotive Grade Linux) e PyPI. <\/p>\n
Il modello di verifica in gittuf si basa sull'uso di un sistema gerarchico di distribuzione della fiducia. La radice di fiducia appartiene al proprietario del repository, il quale pu\u00f2 generare chiavi per i partecipanti allo sviluppo e definire le regole secondo cui le chiavi generate possono essere utilizzate. Gittuf consente di creare regole granulari flessibili che definiscono i poteri di ogni sviluppatore e l'area del repository in cui possono apportare modifiche. Ad esempio, uno sviluppatore pu\u00f2 essere autorizzato a creare tag, effettuare modifiche in specifici branch o modificare solo singoli file nel repository. <\/p>\n
Gli sviluppatori e le modifiche che apportano vengono identificati attraverso chiavi e firme digitali. Gittuf consente di generare nuove chiavi, distribuire le chiavi in modo sicuro, effettuare rotazioni periodiche delle chiavi, revocare chiavi compromesse, gestire liste di accesso (ACL) e spazi dei nomi nei repository Git. Gittuf mantiene anche un registro di stato di riferimento (RSL \u2014 Reference State Log), la cui integrit\u00e0 e protezione da modifiche retroattive sono garantite da una struttura ad albero, il 'Merkle Tree' \u2014 ogni ramo verifica tutti i rami e i nodi sottostanti grazie all'hashing ad albero (avendo un hash finale, l'utente pu\u00f2 verificare la correttezza dell'intera cronologia delle operazioni, cos\u00ec come quella degli stati passati). <\/p>\n
Per verificare le firme digitali dei commit e dei tag, il proprietario del repository genera e distribuisce chiavi pubbliche, direttamente associate al repository. Per contrastare la diffusione di modifiche malevole create dopo l'accesso alle chiavi per la generazione delle firme digitali di singoli sviluppatori, vengono adottati meccanismi di revoca e sostituzione delle chiavi. Le chiavi hanno un tempo di vita limitato e richiedono un aggiornamento costante per proteggere da firme create con chiavi obsolete. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"