Red Hat et Google, una cum Universitate Purdue, consilium Sigstore fundaverunt, instrumenta et operas creandi ad examinandum programmatum digitalium subscriptionibus adhibitis, et stipem publicam ad confirmandam authenticitatem conservandam (log perspicuum). Exertum erit sub auspiciis organizationis Linux Foundation non-lucri.
Propositum consilium securitatem canalium distributionis programmatis emendare et contra impetus tuetur, qui intendebant in repositis programmatibus et dependentiis (copia catenae). Una e praecipuis quaestionibus securitatis in fonte aperto programmatis est difficultas verificandi fontem programmatis et examinandi processus aedificandi. Exempli causa, incepta maxima utuntur ad integritatem remissionis comprobandam, sed saepe informationes ad authenticas necessarias in apertis systematibus et in communi codice repositoria recondita sunt, ex quibus impugnantes tabellas ad verificationem necessarias et malicias mutationes introducere possunt. sine suspicione.
Tantum parva proportio consiliorum digitalibus subscriptionibus utuntur, cum solutiones distribuendae ob difficultates in clavibus administrandis, claves publicas distribuendis, et clavibus suspectos revocandis, utuntur. Ut verificationem ad sensum adhibeas, certum et securum processum ordinare etiam necesse est ad claves publicas et schedas distribuendas. Etiam cum subscriptione digitalis, multi utentes verificationem ignorent, quia necesse est tempus terere investigando processum verificationis et intellegentiam quae clavis est fide digna.
Sigstore toluted as equivalent of Let's Encrypt pro codice, libellos praebens digitally signum signandi et instrumenta ad verificationem automatandam. Cum Sigstore, tincturae digitally signare possunt artificia applicationis relatas ut emissio imaginum, continens imagines, manifestat et executables. Peculiaris notum Sigstoris est quod materia ad signandum adhibita relucet in usorum publicorum tatione probatione quae ad verificationem et auditionem adhiberi potest.
Loco clavium permanentium, Sigstore utitur brevibus ephemeralibus clavibus, quae generantur ex documentis confirmatis ab OpenID Provisoribus (tempore clavium generandi pro subscriptione digitale, elit se identificat per provisorem OpenID electronicae coniunctum). authenticitas clavium verificatur utens index publicus centralised, quo fieri potest ut verificetur auctorem subscriptionis is exacte quem esse affirmat et subscriptio formata est ab eodem participe qui fuit responsalis emissionis praeteritae.
Sigstore praebet utrumque servitium promptum quod iam uti potes, et instrumentorum copia quae te ad similia officia explicanda tuo proprio instrumento permittit. Ministerium liberum est omnibus tincidunt et programmatibus programmatibus et in neutram suggestum explicatur - Foundation Linux. Omnia membra officii fons aperta sunt, scripta in Go et sub Apache 2.0 licentia distributa.
Inter enucleata notare possumus:
- Rekor est exsequendi index pro metadata digitally reponenda notitia de inceptis cogitans. Ad integritatem tuendam et contra notitias corruptionis post factum, adhibetur structura arboris-similis Merkle, in qua quilibet ramus certificat omnes ramos et nodos subiacentes, propter iuncturam (arborem) hashing. Usor finalem Nullam habere potest rectitudinem totius historiae operationum comprobare, et rectitudinem praeteritorum statuum datorum (radicis verificationis Nullam novi status database computatur ratione praeteritorum rerum. ). Ut verificare et addere novas tabulas, API Resful provisum est, sicut interfacies cli.
- Fulcio (SigStore WebPKI) est systema certificationis auctoritates creandi (Root-CAs) quae breves vivae testimoniales subsunt secundum electronicas per OpenID Connect authenticas editas. Vita certificamenti XX minuta est, in quibus electronica tempus debet generare subscriptionem digitalem (si testimonium postea incidit in manus impugnantis, iam exspirabitur).
- Π‘osign (continens Signing) instrumentum est ad signaturas generandas pro vasis, subscriptionibus comprobandis et vasis signatis in repositoriis compatibilibus cum OCI (Open Container Initiative).
Source: opennet.ru