സിഗ്‌സ്റ്റോർ ക്രിപ്‌റ്റോഗ്രാഫിക് വെരിഫിക്കേഷൻ സിസ്റ്റം പ്രഖ്യാപിച്ചു

സിഗ്‌സ്റ്റോർ പ്രോജക്റ്റ് രൂപീകരിക്കുന്ന ഘടകങ്ങളുടെ ആദ്യ സ്ഥിരതയുള്ള റിലീസുകളുടെ രൂപീകരണം Google പ്രഖ്യാപിച്ചു, ഇത് പ്രവർത്തന നിർവ്വഹണങ്ങൾ സൃഷ്ടിക്കുന്നതിന് അനുയോജ്യമാണെന്ന് പ്രഖ്യാപിച്ചു. ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ ഉപയോഗിച്ച് സോഫ്‌റ്റ്‌വെയർ പരിശോധനയ്‌ക്കായി ഉപകരണങ്ങളും സേവനങ്ങളും സിഗ്‌സ്റ്റോർ വികസിപ്പിക്കുകയും മാറ്റങ്ങളുടെ ആധികാരികത (സുതാര്യത ലോഗ്) സ്ഥിരീകരിക്കുന്ന ഒരു പൊതു ലോഗ് പരിപാലിക്കുകയും ചെയ്യുന്നു. Google, Red Hat, Cisco, vmWare, GitHub, HP Enterprise എന്നിവയുടെ ലാഭേച്ഛയില്ലാതെ പ്രവർത്തിക്കുന്ന സംഘടനയായ Linux Foundation-ന്റെ ആഭിമുഖ്യത്തിൽ OpenSSF (ഓപ്പൺ സോഴ്‌സ് സെക്യൂരിറ്റി ഫൗണ്ടേഷൻ), പർഡ്യൂ യൂണിവേഴ്‌സിറ്റി എന്നിവയുടെ പങ്കാളിത്തത്തോടെയാണ് പ്രോജക്റ്റ് വികസിപ്പിക്കുന്നത്.

സിഗ്‌സ്റ്റോറിനെ കോഡിനായി നമുക്ക് എൻക്രിപ്റ്റ് ചെയ്യാം, ഡിജിറ്റലായി ഒപ്പിടുന്നതിനുള്ള സർട്ടിഫിക്കറ്റുകളും സ്ഥിരീകരണം ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനുള്ള ഉപകരണങ്ങളും നൽകുന്നു. സിഗ്‌സ്റ്റോർ ഉപയോഗിച്ച്, ഡെവലപ്പർമാർക്ക് റിലീസ് ഫയലുകൾ, കണ്ടെയ്‌നർ ഇമേജുകൾ, മാനിഫെസ്റ്റുകൾ, എക്‌സിക്യൂട്ടബിളുകൾ എന്നിവ പോലുള്ള ആപ്ലിക്കേഷനുമായി ബന്ധപ്പെട്ട ആർട്ടിഫാക്‌റ്റുകൾ ഡിജിറ്റലായി ഒപ്പിടാനാകും. ഒപ്പിടാൻ ഉപയോഗിക്കുന്ന മെറ്റീരിയൽ, പരിശോധനയ്ക്കും ഓഡിറ്റിങ്ങിനും ഉപയോഗിക്കാവുന്ന ഒരു ടാംപർ പ്രൂഫ് പബ്ലിക് ലോഗിൽ പ്രതിഫലിക്കുന്നു.

സ്ഥിരമായ കീകൾക്ക് പകരം, ഓപ്പൺഐഡി കണക്റ്റ് ദാതാക്കൾ പരിശോധിച്ച ക്രെഡൻഷ്യലുകളെ അടിസ്ഥാനമാക്കി സൃഷ്ടിക്കുന്ന ഹ്രസ്വകാല എഫെമറൽ കീകളാണ് സിഗ്സ്റ്റോർ ഉപയോഗിക്കുന്നത് (ഡിജിറ്റൽ സിഗ്നേച്ചർ സൃഷ്ടിക്കുന്നതിന് ആവശ്യമായ കീകൾ സൃഷ്ടിക്കുന്ന സമയത്ത്, ഡെവലപ്പർ ഇമെയിൽ ബൈൻഡിംഗ് ഉപയോഗിച്ച് OpenID ദാതാവ് വഴി സ്വയം തിരിച്ചറിയുന്നു. ). കീകളുടെ ആധികാരികത സ്ഥിരീകരിക്കുന്നത് ഒരു പൊതു കേന്ദ്രീകൃത ലോഗ് ആണ്, ഇത് ഒപ്പിന്റെ രചയിതാവ് കൃത്യമായി അവകാശപ്പെടുന്ന വ്യക്തിയാണെന്ന് ഉറപ്പാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, കൂടാതെ മുൻ പതിപ്പുകൾക്ക് ഉത്തരവാദിയായ അതേ പങ്കാളിയാണ് ഒപ്പ് രൂപീകരിച്ചത്.

സിഗ്‌സ്റ്റോർ നടപ്പിലാക്കുന്നതിനുള്ള സന്നദ്ധതയ്ക്ക് കാരണം രണ്ട് പ്രധാന ഘടകങ്ങളുടെ റിലീസുകളുടെ രൂപീകരണം മൂലമാണ് - Rekor 1.0, Fulcio 1.0, ഇവയുടെ പ്രോഗ്രാമിംഗ് ഇന്റർഫേസുകൾ സ്ഥിരതയുള്ളതായി പ്രഖ്യാപിക്കപ്പെടുകയും ഇനിമുതൽ പിന്നാക്ക അനുയോജ്യത നിലനിർത്തുകയും ചെയ്യുന്നു. സേവന ഘടകങ്ങൾ Go- ൽ എഴുതുകയും Apache 2.0 ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

പ്രോജക്റ്റുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ പ്രതിഫലിപ്പിക്കുന്ന ഡിജിറ്റലായി ഒപ്പിട്ട മെറ്റാഡാറ്റ സംഭരിക്കുന്നതിനുള്ള ഒരു ലോഗ് നടപ്പിലാക്കൽ Rekor ഘടകത്തിൽ അടങ്ങിയിരിക്കുന്നു. ഡാറ്റ അഴിമതിക്കെതിരെ സമഗ്രതയും സംരക്ഷണവും ഉറപ്പാക്കാൻ, ഒരു മെർക്കൽ ട്രീ ട്രീ ഘടന ഉപയോഗിക്കുന്നു, അതിൽ ഓരോ ശാഖയും ജോയിന്റ് (ട്രീ) ഹാഷിംഗിലൂടെ എല്ലാ അടിസ്ഥാന ശാഖകളും നോഡുകളും പരിശോധിക്കുന്നു. അന്തിമ ഹാഷ് ഉള്ളതിനാൽ, ഉപയോക്താവിന് പ്രവർത്തനങ്ങളുടെ മുഴുവൻ ചരിത്രത്തിന്റെയും കൃത്യതയും ഡാറ്റാബേസിന്റെ മുൻകാല അവസ്ഥകളുടെ കൃത്യതയും പരിശോധിക്കാൻ കഴിയും (ഡേറ്റാബേസിന്റെ പുതിയ അവസ്ഥയുടെ റൂട്ട് സ്ഥിരീകരണ ഹാഷ് മുൻകാല അവസ്ഥ കണക്കിലെടുത്താണ് കണക്കാക്കുന്നത്. ). പുതിയ റെക്കോർഡുകൾ പരിശോധിക്കുന്നതിനും ചേർക്കുന്നതിനും ഒരു RESTful API നൽകിയിട്ടുണ്ട്, അതുപോലെ ഒരു കമാൻഡ് ലൈൻ ഇന്റർഫേസും.

Fulcio ഘടകത്തിൽ (SigStore WebPKI) ഓപ്പൺഐഡി കണക്ട് വഴി പ്രാമാണീകരിച്ച ഇമെയിൽ അടിസ്ഥാനമാക്കി ഹ്രസ്വകാല സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന സർട്ടിഫിക്കറ്റ് അധികാരികൾ (റൂട്ട് സിഎകൾ) സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു സിസ്റ്റം ഉൾപ്പെടുന്നു. സർട്ടിഫിക്കറ്റിന്റെ ആയുസ്സ് 20 മിനിറ്റാണ്, ഈ സമയത്ത് ഡെവലപ്പർക്ക് ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ സൃഷ്ടിക്കാൻ സമയമുണ്ടായിരിക്കണം (ഭാവിയിൽ സർട്ടിഫിക്കറ്റ് ആക്രമണകാരിയുടെ കൈകളിൽ എത്തിയാൽ, അത് ഇതിനകം കാലഹരണപ്പെടും). കൂടാതെ, കണ്ടെയ്‌നറുകൾക്കായി ഒപ്പുകൾ സൃഷ്‌ടിക്കാനും ഒപ്പുകൾ പരിശോധിക്കാനും ഒസിഐ (ഓപ്പൺ കണ്ടെയ്‌നർ ഇനിഷ്യേറ്റീവ്) ന് അനുയോജ്യമായ ശേഖരണങ്ങളിൽ ഒപ്പിട്ട കണ്ടെയ്‌നറുകൾ സ്ഥാപിക്കാനും രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന കോസൈൻ (കണ്ടെയ്‌നർ സൈനിംഗ്) ടൂൾകിറ്റ് പ്രോജക്റ്റ് വികസിപ്പിക്കുന്നു.

സിഗ്‌സ്റ്റോറിന്റെ ആമുഖം സോഫ്റ്റ്‌വെയർ വിതരണ ചാനലുകളുടെ സുരക്ഷ വർദ്ധിപ്പിക്കുന്നതിനും ലൈബ്രറികൾക്കും ഡിപൻഡൻസികൾക്കും (വിതരണ ശൃംഖല) പകരം വയ്ക്കാൻ ലക്ഷ്യമിട്ടുള്ള ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിനും സാധ്യമാക്കുന്നു. ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിലെ പ്രധാന സുരക്ഷാ പ്രശ്‌നങ്ങളിലൊന്ന് പ്രോഗ്രാമിന്റെ ഉറവിടം പരിശോധിക്കുന്നതിനും ബിൽഡ് പ്രോസസ്സ് പരിശോധിക്കുന്നതിനുമുള്ള ബുദ്ധിമുട്ടാണ്. ഉദാഹരണത്തിന്, മിക്ക പ്രോജക്റ്റുകളും ഒരു റിലീസിന്റെ സമഗ്രത പരിശോധിക്കാൻ ഹാഷുകൾ ഉപയോഗിക്കുന്നു, എന്നാൽ പലപ്പോഴും പ്രാമാണീകരണത്തിന് ആവശ്യമായ വിവരങ്ങൾ സുരക്ഷിതമല്ലാത്ത സിസ്റ്റങ്ങളിലും കോഡ് ഉപയോഗിച്ച് പങ്കിട്ട ശേഖരണങ്ങളിലും സംഭരിക്കപ്പെടും, അതിന്റെ ഫലമായി, വിട്ടുവീഴ്ച ചെയ്താൽ, ആക്രമണകാരികൾക്ക് ആവശ്യമായ ഫയലുകൾ മാറ്റിസ്ഥാപിക്കാൻ കഴിയും. സ്ഥിരീകരണം, സംശയം ജനിപ്പിക്കാതെ, ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ അവതരിപ്പിക്കുക.

കീ മാനേജ്‌മെന്റ്, പബ്ലിക് കീകളുടെ വിതരണം, വിട്ടുവീഴ്‌ച ചെയ്‌ത കീകൾ അസാധുവാക്കൽ എന്നിവയിലെ ബുദ്ധിമുട്ടുകൾ കാരണം റിലീസ് വെരിഫിക്കേഷനായി ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിക്കുന്നത് ഇതുവരെ വ്യാപകമായിട്ടില്ല. സ്ഥിരീകരണം അർത്ഥമാക്കുന്നതിന്, പൊതു കീകളും ചെക്ക്‌സമുകളും വിതരണം ചെയ്യുന്നതിനായി വിശ്വസനീയവും സുരക്ഷിതവുമായ ഒരു പ്രക്രിയ സംഘടിപ്പിക്കേണ്ടതും ആവശ്യമാണ്. ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് പോലും, പല ഉപയോക്താക്കളും സ്ഥിരീകരണം അവഗണിക്കുന്നു, കാരണം സ്ഥിരീകരണ പ്രക്രിയ പഠിക്കാനും ഏത് കീ വിശ്വസനീയമാണെന്ന് മനസ്സിലാക്കാനും സമയമെടുക്കും. സിഗ്‌സ്റ്റോർ പ്രോജക്റ്റ് ഈ പ്രക്രിയകൾ ലളിതമാക്കാനും ഓട്ടോമേറ്റ് ചെയ്യാനും ഒരു റെഡിമെയ്ഡ്, തെളിയിക്കപ്പെട്ട പരിഹാരം നൽകിക്കൊണ്ട് ശ്രമിക്കുന്നു.

അവലംബം: opennet.ru