Google dia nanambara ny fananganana ny famoahana stable voalohany amin'ireo singa mandrafitra ny tetikasa Sigstore, izay nambara fa mety amin'ny famoronana fampiharana miasa. Sigstore dia mamolavola fitaovana sy serivisy ho an'ny fanamarinana rindrambaiko amin'ny alΓ lan'ny sonia nomerika ary mitazona ny diarin'ny daholobe manamarina ny maha-azo itokiana ny fanovana (Login'ny mangarahara). Ny tetikasa dia novolavolaina eo ambany fiahian'ny fikambanana tsy mitady tombony Linux Foundation avy amin'ny Google, Red Hat, Cisco, vmWare, GitHub ary HP Enterprise miaraka amin'ny fandraisan'anjaran'ny fikambanana OpenSSF (Open Source Security Foundation) sy ny Oniversite Purdue.
Ny Sigstore dia azo heverina ho Let's Encrypt ho an'ny kaody, manome mari-pankasitrahana hanasonia kaody nomerika sy fitaovana hanamafisana ny fanamarinana. Miaraka amin'ny Sigstore, ny mpamorona dia afaka manao sonia nomerika ireo artifact mifandraika amin'ny fampiharana toy ny famoahana rakitra, sary fitoeran-javatra, fisehoana ary azo tanterahana. Ny fitaovana sonia dia hita taratra amin'ny diarin'ny besinimaro tsy azo tsinontsinoavina izay azo ampiasaina amin'ny fanamarinana sy fanaraha-maso.
Ho solon'ny fanalahidy maharitra, ny Sigstore dia mampiasa fanalahidy ephemeral vetivety, izay novolavolaina mifototra amin'ny fahazoan-dΓ lana nohamafisin'ny mpamatsy OpenID Connect (amin'ny fotoana hamoahana ireo fanalahidy ilaina amin'ny famoronana sonia nomerika, ny mpamorona dia mampahafantatra ny tenany amin'ny alΓ lan'ny mpamatsy OpenID mifandray amin'ny mailaka). Ny maha-azo itokiana ny lakile dia voamarina amin'ny fampiasana logiciel centralisΓ©e public, izay ahafahana manamarina fa ny mpanoratra ny sonia no tena lazainy, ary ilay mpandray anjara izay tompon'andraikitra tamin'ny famoahana taloha ihany no namorona ny sonia.
Ny fahavononan'i Sigstore amin'ny fampiharana dia noho ny fananganana ny famoahana singa fototra roa - Rekor 1.0 sy Fulcio 1.0, ny fifandraisan'ny rindrankajy izay ambara fa miorina ary mbola hihemotra hatrany. Ny singa serivisy dia voasoratra ao amin'ny Go ary zaraina amin'ny alΓ lan'ny lisansa Apache 2.0.
Ny singa Rekor dia misy fampiharana diary ho an'ny fitehirizana metadata nosoniavina nomerika mampiseho fampahalalana momba ny tetikasa. Mba hiantohana ny fahamendrehana sy ny fiarovana amin'ny kolikoly angon-drakitra aorian'ny zava-misy, dia ampiasaina ny rafitra hazo Merkle Tree, izay anamarinan'ny sampana tsirairay ny sampana sy ny nodes rehetra amin'ny alΓ lan'ny hashing (hazo). Ny fananana ny tenifototra farany, ny mpampiasa dia afaka manamarina ny fahamarinan'ny tantaran'ny asa manontolo, ary koa ny fahamarinan'ny fanjakana taloha amin'ny angon-drakitra (ny tenifototra fanamarinana fakan'ny fanjakana vaovao momba ny angon-drakitra dia kajy raha jerena ny fanjakana taloha. ). Ny API RESTful dia omena ho fanamarinana sy fampidirana rakitra vaovao, ary koa interface tsara andalana.
Ny singa Fulcio (SigStore WebPKI) dia ahitana rafitra iray hamoronana manampahefana fanamarinana (root CA) izay mamoaka mari-pankasitrahana vetivety mifototra amin'ny mailaka voamarina amin'ny OpenID Connect. Ny androm-piainan'ny taratasy fanamarinana dia 20 minitra, izay tsy maintsy ananan'ny mpamorona ny fotoana hamokarana sonia nomerika (raha toa ka latsaka eo am-pelatanan'ny mpanafika ilay taratasy fanamarinana dia efa lany daty). Fanampin'izany, ny tetikasa dia mamolavola ny fitaovana Cosign (Container Signing), natao hamoronana sonia ho an'ny kaontenera, hanamarina ny sonia ary hametraka ireo kaontenera voasonia ao amin'ny tahiry mifanaraka amin'ny OCI (Open Container Initiative).
Ny fampiharana ny Sigstore dia ahafahana mampitombo ny fiarovana ny fantsona fizarana fandaharana ary miaro amin'ny fanafihana mikendry ny hanolo ny tranomboky sy ny miankina (rojo famatsiana). Ny iray amin'ireo olana lehibe amin'ny fiarovana amin'ny rindrambaiko open source dia ny fahasarotan'ny fanamarinana ny loharanon'ny programa sy ny fanamarinana ny fizotran'ny fananganana. Ohatra, ny ankamaroan'ny tetikasa dia mampiasa tenifototra mba hanamarinana ny fahamarinan'ny famoahana, fa matetika ny fampahalalana ilaina amin'ny fanamarinana dia voatahiry ao amin'ny rafitra tsy voaaro sy ao amin'ny trano fitehirizana kaody iombonana, izay vokatry ny fanafihan'ny mpanafika dia afaka mampandefitra ny rakitra ilaina amin'ny fanamarinana sy mampiditra fanovana ratsy. tsy mampiahiahy.
Ny fampiasana sonia nomerika ho an'ny fanamarinana ny famoahana dia tsy mbola niely patrana noho ny fahasarotana amin'ny fitantanana ny lakile, ny fizarana ny fanalahidin'ny daholobe ary ny fanafoanana ny fanalahidin'ny lesoka. Mba hahatonga ny fanamarinam-baovao ho tonga saina, ilaina koa ny mandamina dingana azo antoka sy azo antoka amin'ny fizarana ny fanalahidin'ny daholobe sy ny checksum. Na dia amin'ny sonia nomerika aza dia maro ny mpampiasa tsy miraharaha ny fanamarinana satria mila mandany fotoana hianarana ny fizotran'ny fanamarinana sy hahatakatra izay fanalahidy azo itokisana. Ny tetikasa Sigstore dia manandrana manatsotra sy manamboatra ireo dingana ireo amin'ny fanomezana vahaolana efa vita sy voaporofo.
Source: opennet.ru