ຄວາມພ້ອມຂອງລະບົບການກວດສອບລະຫັດເຂົ້າລະຫັດ Sigstore ໄດ້ຖືກປະກາດແລ້ວ

Google ປະກາດການສ້າງຕັ້ງການປ່ອຍຄວາມຫມັ້ນຄົງຄັ້ງທໍາອິດຂອງອົງປະກອບທີ່ປະກອບເປັນໂຄງການ Sigstore, ເຊິ່ງໄດ້ຖືກປະກາດວ່າເຫມາະສົມສໍາລັບການສ້າງການປະຕິບັດການເຮັດວຽກ. Sigstore ພັດທະນາເຄື່ອງມືແລະການບໍລິການສໍາລັບການຢັ້ງຢືນຊອບແວໂດຍໃຊ້ລາຍເຊັນດິຈິຕອນແລະຮັກສາບັນທຶກສາທາລະນະເພື່ອຢືນຢັນຄວາມຖືກຕ້ອງຂອງການປ່ຽນແປງ (ບັນທຶກຄວາມໂປ່ງໃສ). ໂຄງການດັ່ງກ່າວກໍາລັງຖືກພັດທະນາພາຍໃຕ້ການອຸປະຖໍາຂອງອົງການ Linux Foundation ທີ່ບໍ່ຫວັງຜົນກໍາໄລໂດຍ Google, Red Hat, Cisco, vmWare, GitHub ແລະ HP Enterprise ດ້ວຍການເຂົ້າຮ່ວມຂອງອົງການ OpenSSF (Open Source Security Foundation) ແລະມະຫາວິທະຍາໄລ Purdue.

Sigstore ສາມາດຄິດວ່າເປັນການປຽບທຽບຂອງ Let's Encrypt ສໍາລັບລະຫັດ, ສະຫນອງໃບຢັ້ງຢືນສໍາລັບການເຊັນລະຫັດດິຈິຕອນແລະເຄື່ອງມືສໍາລັບການຢັ້ງຢືນອັດຕະໂນມັດ. ດ້ວຍ Sigstore, ນັກພັດທະນາສາມາດເຊັນເຄື່ອງປອມທີ່ກ່ຽວຂ້ອງກັບແອັບພລິເຄຊັນເຊັ່ນ: ໄຟລ໌ປ່ອຍ, ຮູບບັນຈຸ, manifests ແລະການປະຕິບັດໄດ້. ເອກະສານລາຍເຊັນແມ່ນສະທ້ອນໃຫ້ເຫັນຢູ່ໃນບັນທຶກສາທາລະນະທີ່ພິສູດໄດ້ວ່າສາມາດຖືກນໍາໃຊ້ສໍາລັບການຢັ້ງຢືນແລະການກວດສອບ.

ແທນທີ່ຈະເປັນກະແຈຖາວອນ, Sigstore ໃຊ້ກະແຈ ephemeral ທີ່ມີຊີວິດສັ້ນ, ເຊິ່ງສ້າງຂຶ້ນໂດຍອີງໃສ່ຂໍ້ມູນປະຈໍາທີ່ຢືນຢັນໂດຍຜູ້ໃຫ້ບໍລິການ OpenID Connect (ໃນເວລາທີ່ສ້າງລະຫັດທີ່ຈໍາເປັນເພື່ອສ້າງລາຍເຊັນດິຈິຕອນ, ນັກພັດທະນາກໍານົດຕົນເອງໂດຍຜ່ານຜູ້ໃຫ້ບໍລິການ OpenID ທີ່ເຊື່ອມຕໍ່ກັບ. ອີເມວ). ຄວາມຖືກຕ້ອງຂອງກະແຈແມ່ນການກວດສອບໂດຍໃຊ້ບັນທຶກສູນກາງສາທາລະນະ, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະກວດສອບວ່າຜູ້ຂຽນຂອງລາຍເຊັນແມ່ນຜູ້ທີ່ລາວອ້າງວ່າເປັນໃຜ, ແລະລາຍເຊັນແມ່ນສ້າງຂຶ້ນໂດຍຜູ້ເຂົ້າຮ່ວມດຽວກັນທີ່ຮັບຜິດຊອບສໍາລັບການເຜີຍແຜ່ທີ່ຜ່ານມາ.

ຄວາມພ້ອມຂອງ Sigstore ສໍາລັບການປະຕິບັດແມ່ນເນື່ອງມາຈາກການສ້າງຕັ້ງຂອງການປ່ອຍຂອງສອງອົງປະກອບທີ່ສໍາຄັນ - Rekor 1.0 ແລະ Fulcio 1.0, ການໂຕ້ຕອບຂອງຊອຟແວທີ່ໄດ້ຖືກປະກາດວ່າມີຄວາມຫມັ້ນຄົງແລະຈະສືບຕໍ່ກັບຄືນໄປບ່ອນທີ່ເຫມາະສົມ. ອົງປະກອບການບໍລິການແມ່ນຂຽນໃນ Go ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ Apache 2.0.

ອົງປະກອບ Rekor ປະກອບມີການປະຕິບັດບັນທຶກສໍາລັບການເກັບຮັກສາ metadata ທີ່ເຊັນດິຈິຕອນທີ່ສະທ້ອນໃຫ້ເຫັນຂໍ້ມູນກ່ຽວກັບໂຄງການ. ເພື່ອຮັບປະກັນຄວາມຊື່ສັດແລະປ້ອງກັນການສໍ້ລາດບັງຫຼວງຂອງຂໍ້ມູນຫຼັງຈາກຄວາມເປັນຈິງ, ໂຄງສ້າງຕົ້ນໄມ້ Merkle Tree ຖືກນໍາໃຊ້, ເຊິ່ງແຕ່ລະສາຂາຈະກວດສອບສາຂາແລະຂໍ້ທີ່ຕິດພັນທັງຫມົດໂດຍຜ່ານການຮ່ວມກັນ (ຕົ້ນໄມ້). ມີ hash ສຸດທ້າຍ, ຜູ້ໃຊ້ສາມາດກວດສອບຄວາມຖືກຕ້ອງຂອງປະຫວັດການດໍາເນີນງານທັງຫມົດ, ເຊັ່ນດຽວກັນກັບຄວາມຖືກຕ້ອງຂອງສະຖານະທີ່ຜ່ານມາຂອງຖານຂໍ້ມູນ (hash ການກວດສອບຮາກຂອງສະຖານະໃຫມ່ຂອງຖານຂໍ້ມູນແມ່ນຄິດໄລ່ໂດຍຄໍານຶງເຖິງສະຖານະທີ່ຜ່ານມາ. ). A RESTful API ແມ່ນສະຫນອງໃຫ້ສໍາລັບການຢັ້ງຢືນແລະເພີ່ມບັນທຶກໃຫມ່, ເຊັ່ນດຽວກັນກັບການໂຕ້ຕອບເສັ້ນຄໍາສັ່ງ.

ອົງປະກອບຂອງ Fulcio (SigStore WebPKI) ປະກອບມີລະບົບການສ້າງອໍານາດການຢັ້ງຢືນ (root CAs) ທີ່ອອກໃບຢັ້ງຢືນອາຍຸສັ້ນໂດຍອີງໃສ່ອີເມລ໌ທີ່ຖືກຢືນຢັນຜ່ານ OpenID Connect. ອາຍຸຂອງໃບຢັ້ງຢືນແມ່ນ 20 ນາທີ, ໃນລະຫວ່າງທີ່ຜູ້ພັດທະນາຕ້ອງມີເວລາໃນການສ້າງລາຍເຊັນດິຈິຕອນ (ຖ້າໃບຢັ້ງຢືນຕໍ່ມາຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ, ມັນຈະຫມົດອາຍຸແລ້ວ). ນອກຈາກນັ້ນ, ໂຄງການກໍາລັງພັດທະນາຊຸດເຄື່ອງມື Cosign (Container Signing), ອອກແບບເພື່ອສ້າງລາຍເຊັນສໍາລັບຕູ້ຄອນເທນເນີ, ກວດສອບລາຍເຊັນແລະວາງເຄື່ອງບັນຈຸທີ່ລົງນາມໃນ repositories ທີ່ເຫມາະສົມກັບ OCI (Open Container Initiative).

ການປະຕິບັດຂອງ Sigstore ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເພີ່ມຄວາມປອດໄພຂອງຊ່ອງທາງການແຈກຢາຍໂຄງການແລະປ້ອງກັນການໂຈມຕີທີ່ມີຈຸດປະສົງເພື່ອທົດແທນຫ້ອງສະຫມຸດແລະການເພິ່ງພາອາໄສ (ລະບົບຕ່ອງໂສ້ການສະຫນອງ). ຫນຶ່ງໃນບັນຫາຄວາມປອດໄພທີ່ສໍາຄັນໃນຊອບແວແຫຼ່ງເປີດແມ່ນຄວາມຫຍຸ້ງຍາກໃນການກວດສອບແຫຼ່ງຂອງໂຄງການແລະການກວດສອບຂະບວນການສ້າງ. ຕົວຢ່າງ, ໂຄງການສ່ວນໃຫຍ່ໃຊ້ hashes ເພື່ອກວດສອບຄວາມສົມບູນຂອງການປ່ອຍ, ແຕ່ເລື້ອຍໆຂໍ້ມູນທີ່ຈໍາເປັນສໍາລັບການພິສູດຢືນຢັນຖືກເກັບໄວ້ໃນລະບົບທີ່ບໍ່ມີການປ້ອງກັນແລະຢູ່ໃນບ່ອນເກັບລະຫັດທີ່ໃຊ້ຮ່ວມກັນ, ເປັນຜົນມາຈາກການທີ່ຜູ້ໂຈມຕີສາມາດທໍາລາຍໄຟລ໌ທີ່ຈໍາເປັນສໍາລັບການຢັ້ງຢືນແລະແນະນໍາການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ. ໂດຍ​ບໍ່​ມີ​ການ​ເພີ່ມ​ຄວາມ​ສົງ​ໃສ​.

ການນໍາໃຊ້ລາຍເຊັນດິຈິຕອນສໍາລັບການຢັ້ງຢືນການປ່ອຍຍັງບໍ່ທັນໄດ້ແຜ່ຫຼາຍເນື່ອງຈາກຄວາມຫຍຸ້ງຍາກໃນການຄຸ້ມຄອງກະແຈ, ການແຈກຢາຍກະແຈສາທາລະນະ, ແລະການຖອນລະຫັດທີ່ຖືກປະນີປະນອມ. ເພື່ອໃຫ້ການກວດສອບມີຄວາມສົມເຫດສົມຜົນ, ມັນຍັງມີຄວາມຈໍາເປັນໃນການຈັດຕັ້ງຂະບວນການທີ່ເຊື່ອຖືໄດ້ແລະຄວາມປອດໄພສໍາລັບການແຈກຢາຍກະແຈສາທາລະນະແລະເຊັກ. ເຖິງແມ່ນວ່າມີລາຍເຊັນດິຈິຕອນ, ຜູ້ໃຊ້ຫຼາຍຄົນບໍ່ສົນໃຈການກວດສອບເພາະວ່າພວກເຂົາຕ້ອງໃຊ້ເວລາໃນການຮຽນຮູ້ຂະບວນການກວດສອບແລະເຂົ້າໃຈວ່າລະຫັດໃດທີ່ເຊື່ອຖືໄດ້. ໂຄງການ Sigstore ພະຍາຍາມເຮັດໃຫ້ຂະບວນການເຫຼົ່ານີ້ງ່າຍຂຶ້ນ ແລະອັດຕະໂນມັດໂດຍການສະຫນອງການແກ້ໄຂທີ່ກຽມພ້ອມແລະໄດ້ຮັບການພິສູດແລ້ວ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru