{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat e Google hanno presentato Sigstore, un servizio di verifica crittografica del codice.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Le aziende Red Hat e Google, insieme all'Universit\u00e0 di Purdue, hanno fondato il progetto Sigstore, mirato a creare strumenti e servizi per la verifica del software tramite firme digitali e la gestione di un registro pubblico per confermare l'autenticit\u00e0 (transparency log). Il progetto si svilupper\u00e0 sotto l'egida dell'organizzazione no-profit Linux Foundation. <\/p>\n
Il progetto proposto consentir\u00e0 di aumentare la sicurezza dei canali di distribuzione dei software e di proteggersi dagli attacchi mirati alla sostituzione dei componenti software e delle dipendenze (supply chain). Una delle principali problematiche di sicurezza nel software open source \u00e8 la complessit\u00e0 di verifica della fonte di origine del programma e della verifica del processo di creazione. Ad esempio, per controllare l'integrit\u00e0 di una release, la maggior parte dei progetti utilizza hash, ma spesso le informazioni necessarie per la verifica dell'autenticit\u00e0 sono memorizzate su sistemi non protetti e in repository pubblici di codice, il cui compromesso consente agli attaccanti di sostituire i file necessari per la verifica e, senza destare sospetti, di introdurre modifiche dannose. <\/p>\n
Solo una minima parte dei progetti utilizza firme digitali nella distribuzione delle release a causa delle complessit\u00e0 nella gestione delle chiavi, nella distribuzione delle chiavi pubbliche e del ritiro delle chiavi compromesse. Affinch\u00e9 la verifica abbia senso, \u00e8 necessario organizzare anche un processo di distribuzione delle chiavi pubbliche e dei checksum che sia affidabile e sicuro. Anche in presenza di una firma digitale, molti utenti ignorano la verifica, poich\u00e9 \u00e8 necessario dedicare tempo allo studio del processo di verifica e comprendere quale chiave sia degna di fiducia. <\/p>\n
Sigstore \u00e8 presentato come l'equivalente di Let's Encrypt per il codice, fornendo certificati per la convalida del codice attraverso firme digitali e strumenti per automatizzare la verifica. Con Sigstore, gli sviluppatori possono generare firme digitali per artefatti legati all'applicazione, come file di rilascio, immagini dei container, manifesti ed eseguibili. Una caratteristica distintiva di Sigstore \u00e8 che il materiale utilizzato per firmare viene registrato in un registro pubblico a prova di manomissione, che pu\u00f2 essere utilizzato per la verifica e l'audit. <\/p>\n
Invece di chiavi costanti, in Sigstore vengono utilizzate chiavi effimere a vita breve, generate in base ai diritti confermati dai fornitori di OpenID Connect (al momento della generazione delle chiavi per la firma digitale, lo sviluppatore si identifica tramite il fornitore OpenID collegato all'email). L'autenticit\u00e0 delle chiavi \u00e8 verificata tramite un registro pubblico centralizzato, che garantisce che l'autore della firma sia esattamente chi afferma di essere e che la firma sia stata formata dallo stesso partecipante responsabile per i rilasci precedenti. <\/p>\n
Sigstore offre sia un servizio pronto all'uso, gi\u00e0 disponibile, sia un insieme di strumenti per implementare servizi simili su hardware proprio. Il servizio \u00e8 gratuito per tutti gli sviluppatori e fornitori di software, ed \u00e8 ospitato su una piattaforma neutrale: la Linux Foundation. Tutti i componenti del servizio sono open source, scritti in Go e distribuiti sotto licenza Apache 2.0. <\/p>\n
Tra i componenti in fase di sviluppo si possono notare: <\/p>\n
\n
Rekor \u00e8 un'implementazione del registro per memorizzare metadati certificati mediante firme digitali, che riflettono informazioni sui progetti. Per garantire l'integrit\u00e0 e la protezione contro la manomissione dei dati retroattivi, si utilizza una struttura ad albero denominata 'Albero di Merkle', in cui ogni ramo verifica tutti i rami e nodi sottostanti, grazie all'hashing collaborativo (ad albero). Con un hash finale, l'utente pu\u00f2 assicurarsi della correttezza dell'intera cronologia delle operazioni e degli stati precedenti del database (l'hash di controllo radice del nuovo stato del database \u00e8 calcolato tenendo conto dello stato precedente). Per la verifica e l'aggiunta di nuove registrazioni \u00e8 disponibile una API Restful, oltre a un'interfaccia a riga di comando.\n
Fulcio (SigStore WebPKI) \u00e8 un sistema per la creazione di autorit\u00e0 di certificazione (Root-CA) che rilasciano certificati a breve termine basati su email, autenticata tramite OpenID Connect. La durata del certificato \u00e8 di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se in seguito il certificato finisse nelle mani di un malintenzionato, sarebbe gi\u00e0 scaduto).\n
Cosign (Container Signing) \u00e8 uno strumento per creare firme per i contenitori, verificare le firme e pubblicare i contenitori firmati in repository compatibili con OCI (Open Container Initiative). <\/ul>\n