ക്രിപ്‌റ്റോഗ്രാഫിക് കോഡ് വെരിഫിക്കേഷനുള്ള സേവനമായ സിഗ്‌സ്റ്റോർ റെഡ് ഹാറ്റും ഗൂഗിളും അവതരിപ്പിച്ചു

ഡിജിറ്റൽ സിഗ്‌നേച്ചറുകൾ ഉപയോഗിച്ച് സോഫ്‌റ്റ്‌വെയർ പരിശോധിക്കുന്നതിനും ആധികാരികത (സുതാര്യത ലോഗ്) സ്ഥിരീകരിക്കുന്നതിന് ഒരു പൊതു ലോഗ് നിലനിർത്തുന്നതിനുമുള്ള ഉപകരണങ്ങളും സേവനങ്ങളും സൃഷ്‌ടിക്കുക എന്ന ലക്ഷ്യത്തോടെ റെഡ് ഹാറ്റും ഗൂഗിളും പർഡ്യൂ യൂണിവേഴ്‌സിറ്റിയുമായി ചേർന്ന് സിഗ്‌സ്റ്റോർ പ്രോജക്റ്റ് സ്ഥാപിച്ചു. ലിനക്സ് ഫൗണ്ടേഷൻ എന്ന നോൺ പ്രോഫിറ്റ് ഓർഗനൈസേഷന്റെ കീഴിലായിരിക്കും പദ്ധതി വികസിപ്പിക്കുക.

നിർദ്ദിഷ്ട പ്രോജക്റ്റ് സോഫ്‌റ്റ്‌വെയർ വിതരണ ചാനലുകളുടെ സുരക്ഷ മെച്ചപ്പെടുത്തുകയും സോഫ്‌റ്റ്‌വെയർ ഘടകങ്ങളും ഡിപൻഡൻസികളും (വിതരണ ശൃംഖല) മാറ്റിസ്ഥാപിക്കാൻ ലക്ഷ്യമിട്ടുള്ള ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുകയും ചെയ്യും. ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിലെ പ്രധാന സുരക്ഷാ പ്രശ്‌നങ്ങളിലൊന്ന് പ്രോഗ്രാമിന്റെ ഉറവിടം പരിശോധിക്കുന്നതിനും ബിൽഡ് പ്രോസസ്സ് പരിശോധിക്കുന്നതിനുമുള്ള ബുദ്ധിമുട്ടാണ്. ഉദാഹരണത്തിന്, മിക്ക പ്രോജക്റ്റുകളും ഒരു റിലീസിന്റെ സമഗ്രത പരിശോധിക്കാൻ ഹാഷുകൾ ഉപയോഗിക്കുന്നു, എന്നാൽ പലപ്പോഴും പ്രാമാണീകരണത്തിന് ആവശ്യമായ വിവരങ്ങൾ സുരക്ഷിതമല്ലാത്ത സിസ്റ്റങ്ങളിലും പങ്കിട്ട കോഡ് ശേഖരണങ്ങളിലും സംഭരിക്കപ്പെടും, ഇതിന്റെ ഫലമായി ആക്രമണകാരികൾക്ക് സ്ഥിരീകരണത്തിന് ആവശ്യമായ ഫയലുകളിൽ വിട്ടുവീഴ്ച ചെയ്യാനും ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ അവതരിപ്പിക്കാനും കഴിയും. സംശയം ജനിപ്പിക്കാതെ.

കീകൾ കൈകാര്യം ചെയ്യുന്നതിനും പൊതു കീകൾ വിതരണം ചെയ്യുന്നതിനും വിട്ടുവീഴ്ച ചെയ്ത കീകൾ അസാധുവാക്കുന്നതിലുമുള്ള ബുദ്ധിമുട്ടുകൾ കാരണം റിലീസുകൾ വിതരണം ചെയ്യുമ്പോൾ പ്രോജക്റ്റുകളുടെ ഒരു ചെറിയ അനുപാതം മാത്രമേ ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ ഉപയോഗിക്കുന്നുള്ളൂ. സ്ഥിരീകരണം അർത്ഥമാക്കുന്നതിന്, പൊതു കീകളും ചെക്ക്സമുകളും വിതരണം ചെയ്യുന്നതിനായി വിശ്വസനീയവും സുരക്ഷിതവുമായ ഒരു പ്രക്രിയ സംഘടിപ്പിക്കേണ്ടതും ആവശ്യമാണ്. ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് പോലും, പല ഉപയോക്താക്കളും സ്ഥിരീകരണം അവഗണിക്കുന്നു, കാരണം അവർക്ക് സ്ഥിരീകരണ പ്രക്രിയയെക്കുറിച്ച് പഠിക്കാനും ഏത് കീയാണ് വിശ്വസനീയമെന്ന് മനസ്സിലാക്കാനും സമയം ചെലവഴിക്കേണ്ടത്.

സിഗ്‌സ്റ്റോർ കോഡിനായി ലെറ്റ്‌സ് എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനു തുല്യമായി വിശേഷിപ്പിക്കപ്പെടുന്നു, ഡിജിറ്റലായി ഒപ്പിടുന്നതിനുള്ള സർട്ടിഫിക്കറ്റുകളും പരിശോധിച്ചുറപ്പിക്കൽ ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനുള്ള ഉപകരണങ്ങളും നൽകുന്നു. സിഗ്‌സ്റ്റോർ ഉപയോഗിച്ച്, ഡെവലപ്പർമാർക്ക് റിലീസ് ഫയലുകൾ, കണ്ടെയ്‌നർ ഇമേജുകൾ, മാനിഫെസ്റ്റുകൾ, എക്‌സിക്യൂട്ടബിളുകൾ എന്നിവ പോലുള്ള ആപ്ലിക്കേഷനുമായി ബന്ധപ്പെട്ട ആർട്ടിഫാക്‌റ്റുകൾ ഡിജിറ്റലായി ഒപ്പിടാനാകും. സിഗ്‌സ്റ്റോറിന്റെ ഒരു പ്രത്യേക സവിശേഷത, ഒപ്പിടുന്നതിന് ഉപയോഗിക്കുന്ന മെറ്റീരിയൽ ഒരു ടാംപർ പ്രൂഫ് പബ്ലിക് ലോഗിൽ പ്രതിഫലിക്കുന്നു എന്നതാണ്, അത് സ്ഥിരീകരണത്തിനും ഓഡിറ്റിംഗിനും ഉപയോഗിക്കാനാകും.

സ്ഥിരമായ കീകൾക്ക് പകരം, ഓപ്പൺഐഡി കണക്ട് ദാതാക്കൾ സ്ഥിരീകരിച്ച ക്രെഡൻഷ്യലുകളെ അടിസ്ഥാനമാക്കി ജനറേറ്റ് ചെയ്യുന്ന ഹ്രസ്വകാല എഫെമെറൽ കീകളാണ് സിഗ്സ്റ്റോർ ഉപയോഗിക്കുന്നത് (ഡിജിറ്റൽ സിഗ്നേച്ചറിനായി കീകൾ സൃഷ്ടിക്കുന്ന സമയത്ത്, ഒരു ഇമെയിലുമായി ലിങ്ക് ചെയ്തിരിക്കുന്ന ഒരു ഓപ്പൺഐഡി ദാതാവ് വഴി ഡവലപ്പർ സ്വയം തിരിച്ചറിയുന്നു). കീകളുടെ ആധികാരികത ഒരു പൊതു കേന്ദ്രീകൃത ലോഗ് ഉപയോഗിച്ച് പരിശോധിച്ചുറപ്പിക്കുന്നു, ഇത് ഒപ്പിന്റെ രചയിതാവ് കൃത്യമായി അവകാശപ്പെടുന്നയാളാണെന്നും മുൻ പതിപ്പുകൾക്ക് ഉത്തരവാദിയായ അതേ പങ്കാളിയാണ് ഒപ്പ് രൂപപ്പെടുത്തിയതെന്നും പരിശോധിക്കുന്നത് സാധ്യമാക്കുന്നു.

നിങ്ങൾക്ക് ഇതിനകം ഉപയോഗിക്കാൻ കഴിയുന്ന ഒരു റെഡിമെയ്ഡ് സേവനവും നിങ്ങളുടെ സ്വന്തം ഉപകരണങ്ങളിൽ സമാന സേവനങ്ങൾ വിന്യസിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു കൂട്ടം ഉപകരണങ്ങളും സിഗ്സ്റ്റോർ നൽകുന്നു. എല്ലാ ഡെവലപ്പർമാർക്കും സോഫ്റ്റ്‌വെയർ ദാതാക്കൾക്കും ഈ സേവനം സൗജന്യമാണ്, കൂടാതെ ഒരു ന്യൂട്രൽ പ്ലാറ്റ്‌ഫോമിൽ വിന്യസിച്ചിരിക്കുന്നു - ലിനക്സ് ഫൗണ്ടേഷൻ. സേവനത്തിന്റെ എല്ലാ ഘടകങ്ങളും ഓപ്പൺ സോഴ്‌സ് ആണ്, Go- ൽ എഴുതുകയും Apache 2.0 ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

വികസിപ്പിച്ച ഘടകങ്ങളിൽ നമുക്ക് ശ്രദ്ധിക്കാം:

• പ്രോജക്റ്റുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ പ്രതിഫലിപ്പിക്കുന്ന ഡിജിറ്റലായി ഒപ്പിട്ട മെറ്റാഡാറ്റ സംഭരിക്കുന്നതിനുള്ള ഒരു ലോഗ് നടപ്പിലാക്കലാണ് Rekor. സമഗ്രത ഉറപ്പാക്കുന്നതിനും വസ്തുതയ്ക്ക് ശേഷം ഡാറ്റ അഴിമതിയിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിനും, ഒരു ട്രീ പോലുള്ള ഘടന "മെർക്കൽ ട്രീ" ഉപയോഗിക്കുന്നു, അതിൽ ഓരോ ശാഖയും എല്ലാ അടിസ്ഥാന ശാഖകളും നോഡുകളും പരിശോധിക്കുന്നു, ജോയിന്റ് (മരം പോലെയുള്ള) ഹാഷിംഗിന് നന്ദി. അന്തിമ ഹാഷ് ഉള്ളതിനാൽ, ഉപയോക്താവിന് പ്രവർത്തനങ്ങളുടെ മുഴുവൻ ചരിത്രത്തിന്റെയും കൃത്യതയും ഡാറ്റാബേസിന്റെ മുൻകാല അവസ്ഥകളുടെ കൃത്യതയും പരിശോധിക്കാൻ കഴിയും (ഡേറ്റാബേസിന്റെ പുതിയ അവസ്ഥയുടെ റൂട്ട് സ്ഥിരീകരണ ഹാഷ് മുൻകാല അവസ്ഥ കണക്കിലെടുത്താണ് കണക്കാക്കുന്നത്. ). പുതിയ റെക്കോർഡുകൾ പരിശോധിച്ചുറപ്പിക്കാനും ചേർക്കാനും, ഒരു റെസ്റ്റ്ഫുൾ എപിഐയും ഒരു ക്ലൈ ഇന്റർഫേസും നൽകിയിട്ടുണ്ട്.
• ഓപ്പൺഐഡി കണക്ട് വഴി പ്രാമാണീകരിച്ച ഇമെയിലിനെ അടിസ്ഥാനമാക്കി ഹ്രസ്വകാല സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന സർട്ടിഫിക്കേഷൻ അതോറിറ്റികൾ (റൂട്ട്-സിഎകൾ) സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു സംവിധാനമാണ് ഫുൾസിയോ (സിഗ്‌സ്റ്റോർ വെബ്‌പികെഐ). സർട്ടിഫിക്കറ്റിന്റെ ആയുസ്സ് 20 മിനിറ്റാണ്, ഈ സമയത്ത് ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ സൃഷ്ടിക്കാൻ ഡെവലപ്പർക്ക് സമയമുണ്ടായിരിക്കണം (സർട്ടിഫിക്കറ്റ് പിന്നീട് ആക്രമണകാരിയുടെ കൈകളിൽ എത്തിയാൽ, അത് ഇതിനകം കാലഹരണപ്പെടും).
• ഒസിഐ (ഓപ്പൺ കണ്ടെയ്‌നർ ഇനിഷ്യേറ്റീവ്) യ്ക്ക് അനുയോജ്യമായ ശേഖരണങ്ങളിൽ കണ്ടെയ്‌നറുകൾക്കായി ഒപ്പുകൾ സൃഷ്ടിക്കുന്നതിനും ഒപ്പുകൾ പരിശോധിക്കുന്നതിനും ഒപ്പിട്ട കണ്ടെയ്‌നറുകൾ സ്ഥാപിക്കുന്നതിനുമുള്ള ഒരു ടൂൾകിറ്റാണ് കോസൈൻ (കണ്ടെയ്‌നർ സൈനിംഗ്).

അവലംബം: opennet.ru