Објавен е системот за криптографска верификација Sigstore

Google најави формирање на првите стабилни изданија на компонентите што го формираат проектот Sigstore, кој е прогласен за погоден за креирање работни имплементации. Sigstore развива алатки и услуги за верификација на софтвер користејќи дигитални потписи и одржување јавен дневник кој ја потврдува автентичноста на промените (дневник на транспарентност). Проектот се развива под покровителство на непрофитната организација Linux Foundation од Google, Red Hat, Cisco, vmWare, GitHub и HP Enterprise со учество на OpenSSF (Open Source Security Foundation) и Универзитетот Пердју.

Sigstore може да се смета како Ајде да криптираме за код, обезбедувајќи сертификати за дигитално потпишување код и алатки за автоматизирање на верификацијата. Со Sigstore, програмерите можат дигитално да потпишуваат артефакти поврзани со апликации, како што се датотеките за објавување, слики од контејнери, манифестации и извршни датотеки. Материјалот што се користи за потпишување се рефлектира во јавен дневник што е заштитен од манипулации што може да се користи за верификација и ревизија.

Наместо трајни клучеви, Sigstore користи краткотрајни ефемерни клучеви кои се генерираат врз основа на ингеренциите потврдени од провајдерите на OpenID Connect (во моментот на генерирање на клучевите неопходни за создавање дигитален потпис, развивачот се идентификува преку провајдерот OpenID со обврзувачки е-пошта ). Автентичноста на клучевите се потврдува со јавен централизиран дневник, кој ви овозможува да се уверите дека авторот на потписот е токму тој што тврди дека е, а потписот е формиран од истиот учесник кој бил одговорен за минатите изданија.

Подготвеноста на Sigstore за имплементација се должи на формирањето на изданија на две клучни компоненти - Rekor 1.0 и Fulcio 1.0, чии програмски интерфејси се прогласени за стабилни и отсега ја задржуваат компатибилноста наназад. Сервисните компоненти се напишани во Go и се дистрибуираат под лиценцата Apache 2.0.

Компонентата Rekor содржи имплементација на дневник за складирање на дигитално потпишани метаподатоци што ги рефлектираат информациите за проектите. За да се обезбеди интегритет и заштита од корупција на податоците, се користи структура на дрво Merkle Tree во која секоја гранка ги проверува сите основни гранки и јазли преку заедничко (дрво) хаширање. Имајќи го конечниот хаш, корисникот може да ја потврди точноста на целата историја на операции, како и исправноста на минатите состојби на базата на податоци (хашот за верификација на коренот на новата состојба на базата се пресметува земајќи ја предвид претходната состојба ). Обезбеден е RESTful API за проверка и додавање нови записи, како и интерфејс на командната линија.

Компонентата Fulcio (SigStore WebPKI) вклучува систем за создавање авторитети за сертификати (root CAs) кои издаваат краткотрајни сертификати врз основа на е-пошта автентификувана преку OpenID Connect. Времетраењето на сертификатот е 20 минути, за време на кое развивачот мора да има време да генерира дигитален потпис (ако во иднина сертификатот падне во рацете на напаѓачот, тој веќе ќе биде истечен). Дополнително, проектот го развива пакетот алатки Cosign (Потпишување контејнер), дизајниран да генерира потписи за контејнери, да ги потврди потписите и да ги става потпишаните контејнери во складишта компатибилни со OCI (Иницијатива за отворен контејнер).

Воведувањето на Sigstore овозможува да се зголеми безбедноста на каналите за дистрибуција на софтвер и да се заштити од напади насочени кон замена на библиотеки и зависности (синџир на снабдување). Едно од клучните безбедносни прашања во софтверот со отворен код е тешкотијата да се потврди изворот на програмата и да се потврди процесот на градење. На пример, повеќето проекти користат хешови за да го проверат интегритетот на изданието, но честопати информациите потребни за автентикација се складираат на незаштитени системи и во споделени складишта со код, како резултат на што, доколку се компромитирани, напаѓачите можат да ги заменат датотеките потребни за верификација и, без да предизвика сомнеж, да воведе злонамерни промени.

Употребата на дигитални потписи за верификација на издавање сè уште не стана широко распространета поради тешкотии во управувањето со клучеви, дистрибуција на јавни клучеви и отповикување на компромитирани клучеви. За да има смисла верификацијата, дополнително е потребно да се организира сигурен и безбеден процес за дистрибуција на јавни клучеви и контролни суми. Дури и со дигитален потпис, многу корисници ја игнорираат верификацијата бидејќи е потребно време да се научи процесот на верификација и да се разбере кој клуч е доверлив. Проектот Sigstore се обидува да ги поедностави и автоматизира овие процеси преку обезбедување на готово и докажано решение.

Извор: opennet.ru