{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat e Google hanno presentato Sigstore, un servizio per la verifica crittografica del codice","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Le aziende Red Hat e Google, insieme all'Universit\u00e0 di Purdue, hanno fondato il progetto Sigstore, mirato alla creazione di strumenti e servizi per la verifica del software attraverso firme digitali e la registrazione pubblica per confermare l'autenticit\u00e0 (transparency log). Il progetto si svilupper\u00e0 sotto l'egida della non profit Linux Foundation. <\/p>\n
Il progetto proposto consentir\u00e0 di aumentare la sicurezza dei canali di distribuzione dei software e di proteggersi dagli attacchi volti a sostituire componenti e dipendenze software (supply chain). Una delle principali problematiche di sicurezza nel software open source \u00e8 la difficolt\u00e0 di verificare la fonte di ottenimento del programma e di convalidare il processo di build. Ad esempio, per controllare l'integrit\u00e0 di una release, la maggior parte dei progetti utilizza hash, ma spesso le informazioni necessarie per la verifica dell'autenticit\u00e0 vengono conservate su sistemi non protetti e in repository condivisi di codice, il cui compromesso pu\u00f2 permettere agli attaccanti di sostituire i file necessari per la verifica e, senza destare sospetti, introdurre modifiche dannose. <\/p>\n
Solo una piccola parte dei progetti utilizza firme digitali nella distribuzione delle release a causa delle difficolt\u00e0 nella gestione delle chiavi, nella distribuzione delle chiavi pubbliche e nel revocare le chiavi compromesse. Perch\u00e9 la verifica abbia senso, \u00e8 necessario anche organizzare un processo affidabile e sicuro per la distribuzione delle chiavi pubbliche e dei checksum. Anche in presenza di una firma digitale, molti utenti ignorano la verifica, poich\u00e9 richiede tempo per comprendere il processo di verifica e capire quale chiave sia degna di fiducia. <\/p>\n
Sigstore si presenta come un'alternativa a Let’s Encrypt per il codice, fornendo certificati per la validazione del codice tramite firme digitali e strumenti per automatizzare la verifica. Grazie a Sigstore, gli sviluppatori possono generare firme digitali per artefatti legati all'applicazione, come file di rilascio, immagini di container, manifesti ed eseguibili. Un aspetto distintivo di Sigstore \u00e8 che il materiale utilizzato per la firma \u00e8 registrato in un registro pubblico immodificabile, che pu\u00f2 essere utilizzato per la verifica e l'audit. <\/p>\n
Invece di chiavi permanenti, Sigstore utilizza chiavi effimere di breve durata, generate in base ai privilegi confermati dai fornitori di OpenID Connect (al momento della generazione delle chiavi per la firma digitale, lo sviluppatore si identifica tramite il fornitore di OpenID associato all'email). L'autenticit\u00e0 delle chiavi viene verificata attraverso un registro centralizzato pubblico, che consente di accertarsi che l'autore della firma sia realmente chi afferma di essere e che la firma sia stata generata dallo stesso partecipante responsabile delle versioni precedenti. <\/p>\n
Sigstore offre sia un servizio pronto all'uso, gi\u00e0 disponibile, sia un insieme di strumenti che consentono di implementare servizi simili sulla propria infrastruttura. Il servizio \u00e8 gratuito per tutti gli sviluppatori e fornitori di software ed \u00e8 ospitato su una piattaforma neutra \u2014 la Linux Foundation. Tutti i componenti del servizio sono open-source, scritti in Go e distribuiti sotto licenza Apache 2.0. <\/p>\n
Tra i componenti in fase di sviluppo si possono segnalare: <\/p>\n
\n
Rekor — implementazione di un registro per la conservazione di metadati firmati digitalmente, che riflettono informazioni sui progetti. Per garantire l'integrit\u00e0 e la protezione contro la manomissione dei dati, viene utilizzata una struttura ad albero «Albero di Merkle» (Merkle Tree), in cui ogni ramo verifica tutti i rami e nodi sottostanti, grazie all'hashing congiunto (ad albero). Possedendo un hash finale, l'utente pu\u00f2 verificare la correttezza di tutta la storia delle operazioni, cos\u00ec come la correttezza degli stati passati del database (l'hash di controllo radice del nuovo stato del database \u00e8 calcolato tenendo conto dello stato precedente). Per la verifica e l'aggiunta di nuovi registri \u00e8 fornito un'API Restful, oltre a un'interfaccia cli.\n
Fulcio (SigStore WebPKI) — sistema per la creazione di centri di certificazione (Root-CA), che emettono certificati a vita breve basati su email, autenticati tramite OpenID Connect. Il tempo di vita del certificato \u00e8 di 20 minuti, durante i quali lo sviluppatore deve riuscire a generare una firma digitale (se in seguito il certificato finisce nelle mani di un aggressore, sar\u00e0 gi\u00e0 scaduto).\n
Cosign (Container Signing) \u2014 uno strumento per la generazione di firme per contenitori, la verifica delle firme e la pubblicazione di contenitori firmati in repository compatibili con l'OCI (Open Container Initiative). <\/ul>\n