{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Il progetto gittuf sviluppa un sistema di protezione crittografica per i repository Git","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 disponibile la versione del progetto gittuf 0.4, che sviluppa un sistema gerarchico di verifica dei contenuti dei repository Git, consentendo di ridurre al minimo i rischi in situazioni di compromissione da parte di singoli sviluppatori con accesso al repository. Gittuf fornisce un ulteriore strato di sicurezza a Git e un insieme di strumenti per la gestione delle chiavi di tutti gli sviluppatori con accesso al repository e la definizione delle regole di accesso a branch, tag e singoli file. Il codice del progetto \u00e8 scritto in linguaggio Go e distribuito sotto licenza Apache 2.0. Il progetto \u00e8 attualmente in fase di sviluppo attivo e ha la qualit\u00e0 di una versione alpha, adatta per esperimenti, ma non ancora pronta per implementazioni in produzione. <\/p>\n
Le informazioni e gli artefatti che forniscono una ulteriore verifica delle modifiche apportate sono memorizzati in uno spazio di nomi specifico per gittuf all'interno del repository degli oggetti Git, permettendo di mantenere la compatibilit\u00e0 con gli strumenti e i servizi esistenti, tra cui GitHub e GitLab. Quando si utilizzano strumenti che non supportano gittuf, il repository rimane completamente accessibile, ma sono limitate le capacit\u00e0 di verifica avanzata della sua integrit\u00e0. L'architettura di gittuf si basa su elementi collaudati del framework TUF (The Update Framework), utilizzato per proteggere i processi di creazione degli aggiornamenti in progetti come Docker, Fuchsia, AGL (Automotive Grade Linux) e PyPI. <\/p>\n
Il modello di verifica in gittuf si basa sull'uso di un sistema gerarchico di distribuzione della fiducia. La radice della fiducia appartiene al proprietario del repository, che pu\u00f2 generare chiavi per i partecipanti allo sviluppo e definire le regole in base alle quali le chiavi generate possono essere utilizzate. Gittuf consente di creare regole granulari flessibili che definiscono le autorizzazioni di ciascun sviluppatore e l'ambito del repository in cui ha la possibilit\u00e0 di apportare modifiche. Ad esempio, uno sviluppatore pu\u00f2 essere autorizzato a creare tag, apportare modifiche a branch specifici o modificare solo singoli file nel repository. <\/p>\n
Gli sviluppatori e le modifiche da loro apportate vengono identificati tramite chiavi e firme digitali. Gittuf permette di generare nuove chiavi, distribuire le chiavi in modo sicuro, effettuare la rotazione periodica delle chiavi, revocare le chiavi compromesse, gestire le liste di accesso (ACL) e gli spazi dei nomi nei repository Git. Gittuf tiene inoltre un registro di riferimento di tutte le modifiche (RSL \u2014 Reference State Log), la cui integrit\u00e0 e protezione da manipolazioni retroattive \u00e8 garantita da una struttura ad albero, il \"Merkle Tree\" \u2014 ogni ramo verifica tutti i rami e i nodi sottostanti grazie all'hashing ad albero (avendo un hash finale, l'utente pu\u00f2 assicurarsi della correttezza dell'intera storia delle operazioni e delle condizioni passate). <\/p>\n
Per verificare le firme digitali dei commit e dei tag, il proprietario del repository crea e distribuisce chiavi pubbliche che sono direttamente associate al repository. Per contrastare il progresso delle modifiche da parte degli aggressori, effettuate dopo aver ottenuto l'accesso alle chiavi per la creazione delle firme digitali degli sviluppatori, vengono applicati meccanismi di revoca e sostituzione delle chiavi. Le chiavi hanno un tempo di vita limitato e richiedono un aggiornamento costante per proteggere dalla creazione di firme con chiavi obsolete. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"