Red Hat ແລະ Google ໄດ້ນໍາສະເຫນີ Sigstore, ການບໍລິການສໍາລັບການຢັ້ງຢືນລະຫັດລັບ

Red Hat ແລະ Google, ຮ່ວມກັບມະຫາວິທະຍາໄລ Purdue, ສ້າງຕັ້ງໂຄງການ Sigstore, ມີຈຸດປະສົງເພື່ອສ້າງເຄື່ອງມືແລະການບໍລິການສໍາລັບການຢັ້ງຢືນຊອບແວໂດຍໃຊ້ລາຍເຊັນດິຈິຕອນແລະຮັກສາບັນທຶກສາທາລະນະເພື່ອຢືນຢັນຄວາມຖືກຕ້ອງ (ບັນທຶກຄວາມໂປ່ງໃສ). ໂຄງການດັ່ງກ່າວຈະຖືກພັດທະນາພາຍໃຕ້ການອຸປະຖໍາຂອງອົງການບໍ່ຫວັງຜົນກໍາໄລ Linux Foundation.

ໂຄງການທີ່ສະເຫນີຈະປັບປຸງຄວາມປອດໄພຂອງຊ່ອງທາງການແຈກຢາຍຊອບແວແລະປ້ອງກັນການໂຈມຕີທີ່ມີຈຸດປະສົງເພື່ອທົດແທນອົງປະກອບຂອງຊອບແວແລະການເພິ່ງພາອາໄສ (ລະບົບຕ່ອງໂສ້ການສະຫນອງ). ຫນຶ່ງໃນບັນຫາຄວາມປອດໄພທີ່ສໍາຄັນໃນຊອບແວແຫຼ່ງເປີດແມ່ນຄວາມຫຍຸ້ງຍາກໃນການກວດສອບແຫຼ່ງຂອງໂຄງການແລະການກວດສອບຂະບວນການສ້າງ. ຕົວຢ່າງ, ໂຄງການສ່ວນໃຫຍ່ໃຊ້ hashes ເພື່ອກວດສອບຄວາມສົມບູນຂອງການປ່ອຍ, ແຕ່ເລື້ອຍໆຂໍ້ມູນທີ່ຈໍາເປັນສໍາລັບການພິສູດຢືນຢັນຖືກເກັບໄວ້ໃນລະບົບທີ່ບໍ່ມີການປ້ອງກັນແລະຢູ່ໃນບ່ອນເກັບລະຫັດທີ່ໃຊ້ຮ່ວມກັນ, ເປັນຜົນມາຈາກການທີ່ຜູ້ໂຈມຕີສາມາດທໍາລາຍໄຟລ໌ທີ່ຈໍາເປັນສໍາລັບການຢັ້ງຢືນແລະແນະນໍາການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ. ໂດຍ​ບໍ່​ມີ​ການ​ເພີ່ມ​ຄວາມ​ສົງ​ໃສ​.

ມີພຽງແຕ່ໂຄງການອັດຕາສ່ວນນ້ອຍເທົ່ານັ້ນທີ່ໃຊ້ລາຍເຊັນດິຈິຕອນໃນເວລາທີ່ການແຈກຢາຍການປ່ອຍອອກມາເນື່ອງຈາກຄວາມຫຍຸ້ງຍາກໃນການຄຸ້ມຄອງກະແຈ, ການແຈກຢາຍກະແຈສາທາລະນະ, ແລະການຖອນລະຫັດທີ່ຖືກປະນີປະນອມ. ເພື່ອໃຫ້ການກວດສອບມີຄວາມສົມເຫດສົມຜົນ, ມັນຍັງມີຄວາມຈໍາເປັນໃນການຈັດຕັ້ງຂະບວນການທີ່ເຊື່ອຖືໄດ້ແລະຄວາມປອດໄພສໍາລັບການແຈກຢາຍກະແຈສາທາລະນະແລະ checksums. ເຖິງແມ່ນວ່າມີລາຍເຊັນດິຈິຕອນ, ຜູ້ໃຊ້ຫຼາຍຄົນບໍ່ສົນໃຈການກວດສອບເພາະວ່າພວກເຂົາຕ້ອງໃຊ້ເວລາສຶກສາຂະບວນການກວດສອບແລະເຂົ້າໃຈວ່າລະຫັດໃດທີ່ເຊື່ອຖືໄດ້.

Sigstore ໄດ້ຖືກຍົກຍ້ອງວ່າເທົ່າກັບ Let's Encrypt ສໍາລັບລະຫັດ, ສະຫນອງໃບຢັ້ງຢືນສໍາລັບການເຊັນລະຫັດດິຈິຕອນແລະເຄື່ອງມືສໍາລັບການຢັ້ງຢືນອັດຕະໂນມັດ. ດ້ວຍ Sigstore, ນັກພັດທະນາສາມາດເຊັນເຄື່ອງປອມທີ່ກ່ຽວຂ້ອງກັບແອັບພລິເຄຊັນເຊັ່ນ: ໄຟລ໌ປ່ອຍ, ຮູບບັນຈຸ, manifests ແລະການປະຕິບັດໄດ້. ລັກສະນະພິເສດຂອງ Sigstore ແມ່ນວ່າວັດສະດຸທີ່ໃຊ້ສໍາລັບການລົງນາມແມ່ນສະທ້ອນໃຫ້ເຫັນຢູ່ໃນບັນທຶກສາທາລະນະທີ່ມີຫຼັກຖານສະແດງທີ່ສາມາດຖືກນໍາໃຊ້ເພື່ອການກວດສອບແລະການກວດສອບ.

ແທນທີ່ຈະເປັນກະແຈຖາວອນ, Sigstore ໃຊ້ກະແຈ ephemeral ທີ່ມີຊີວິດສັ້ນ, ເຊິ່ງສ້າງຂຶ້ນໂດຍອີງໃສ່ຂໍ້ມູນປະຈໍາທີ່ຢືນຢັນໂດຍຜູ້ໃຫ້ບໍລິການ OpenID Connect (ໃນເວລາທີ່ສ້າງລະຫັດສໍາລັບລາຍເຊັນດິຈິຕອນ, ນັກພັດທະນາໄດ້ກໍານົດຕົນເອງໂດຍຜ່ານຜູ້ໃຫ້ບໍລິການ OpenID ທີ່ເຊື່ອມຕໍ່ກັບອີເມວ). ຄວາມຖືກຕ້ອງຂອງກະແຈແມ່ນການກວດສອບໂດຍໃຊ້ບັນທຶກສູນກາງສາທາລະນະ, ເຊິ່ງເຮັດໃຫ້ມັນສາມາດກວດສອບໄດ້ວ່າຜູ້ຂຽນຂອງລາຍເຊັນແມ່ນຜູ້ທີ່ລາວອ້າງວ່າເປັນໃຜແທ້ໆແລະລາຍເຊັນແມ່ນສ້າງຂຶ້ນໂດຍຜູ້ເຂົ້າຮ່ວມດຽວກັນທີ່ຮັບຜິດຊອບສໍາລັບການເຜີຍແຜ່ທີ່ຜ່ານມາ.

Sigstore ໃຫ້ທັງການບໍລິການທີ່ພ້ອມທີ່ຈະເຮັດແລ້ວທີ່ທ່ານສາມາດນໍາໃຊ້ໄດ້, ແລະຊຸດຂອງເຄື່ອງມືທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດການບໍລິການທີ່ຄ້າຍຄືກັນໃນອຸປະກອນຂອງທ່ານເອງ. ການບໍລິການແມ່ນບໍ່ເສຍຄ່າສໍາລັບຜູ້ພັດທະນາແລະຜູ້ໃຫ້ບໍລິການຊອບແວທັງຫມົດ, ແລະຖືກນໍາໄປໃຊ້ໃນເວທີທີ່ເປັນກາງ - Linux Foundation. ອົງປະກອບທັງຫມົດຂອງການບໍລິການແມ່ນແຫຼ່ງເປີດ, ຂຽນໃນ Go ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ Apache 2.0.

ໃນບັນດາອົງປະກອບທີ່ພັດທະນາແລ້ວພວກເຮົາສາມາດສັງເກດໄດ້:

• Rekor ແມ່ນການປະຕິບັດບັນທຶກສໍາລັບການເກັບຮັກສາ metadata ທີ່ເຊັນດິຈິຕອນທີ່ສະທ້ອນໃຫ້ເຫັນຂໍ້ມູນກ່ຽວກັບໂຄງການ. ເພື່ອຮັບປະກັນຄວາມຊື່ສັດແລະປ້ອງກັນການສໍ້ລາດບັງຫຼວງຂອງຂໍ້ມູນຫຼັງຈາກຄວາມຈິງ, ໂຄງສ້າງຄ້າຍຄືຕົ້ນໄມ້ "ຕົ້ນໄມ້ Merkle" ຖືກໃຊ້, ເຊິ່ງແຕ່ລະສາຂາຈະກວດສອບສາຂາແລະຂໍ້ທີ່ຕິດພັນທັງຫມົດ, ຍ້ອນການຮ່ວມກັນ (ຄ້າຍຄືຕົ້ນໄມ້). ມີ hash ສຸດທ້າຍ, ຜູ້ໃຊ້ສາມາດກວດສອບຄວາມຖືກຕ້ອງຂອງປະຫວັດການດໍາເນີນງານທັງຫມົດ, ເຊັ່ນດຽວກັນກັບຄວາມຖືກຕ້ອງຂອງສະຖານະທີ່ຜ່ານມາຂອງຖານຂໍ້ມູນ (hash ການກວດສອບຮາກຂອງສະຖານະໃຫມ່ຂອງຖານຂໍ້ມູນແມ່ນຄິດໄລ່ໂດຍຄໍານຶງເຖິງສະຖານະທີ່ຜ່ານມາ. ). ເພື່ອກວດສອບແລະເພີ່ມບັນທຶກໃຫມ່, API Restful ແມ່ນສະຫນອງໃຫ້, ເຊັ່ນດຽວກັນກັບການໂຕ້ຕອບ cli.
• Fulcio (SigStore WebPKI) ແມ່ນລະບົບສໍາລັບການສ້າງອໍານາດການຢັ້ງຢືນ (Root-CAs) ທີ່ອອກໃບຢັ້ງຢືນອາຍຸສັ້ນໂດຍອີງໃສ່ອີເມລ໌ທີ່ຖືກຢືນຢັນຜ່ານ OpenID Connect. ອາຍຸຂອງໃບຢັ້ງຢືນແມ່ນ 20 ນາທີ, ໃນລະຫວ່າງທີ່ຜູ້ພັດທະນາຕ້ອງມີເວລາໃນການສ້າງລາຍເຊັນດິຈິຕອນ (ຖ້າໃບຢັ້ງຢືນຕໍ່ມາຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ, ມັນຈະຫມົດອາຍຸແລ້ວ).
• Сosign (Container Signing) ເປັນຊຸດເຄື່ອງມືໃນການສ້າງລາຍເຊັນສຳລັບຕູ້ຄອນເທນເນີ, ກວດສອບລາຍເຊັນ ແລະວາງເຄື່ອງບັນຈຸທີ່ເຊັນແລ້ວໃນບ່ອນເກັບມ້ຽນທີ່ເຂົ້າກັນໄດ້ກັບ OCI (Open Container Initiative).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru