Red Hat आणि Google ने Sigstore, क्रिप्टोग्राफिक कोड पडताळणीसाठी सेवा सादर केली

Red Hat आणि Google ने पर्ड्यू युनिव्हर्सिटीसह, सिगस्टोर प्रकल्पाची स्थापना केली, ज्याचा उद्देश डिजिटल स्वाक्षरी वापरून सॉफ्टवेअरची पडताळणी करण्यासाठी आणि सत्यतेची (पारदर्शकता लॉग) पुष्टी करण्यासाठी सार्वजनिक लॉग राखण्यासाठी साधने आणि सेवा तयार करणे आहे. लिनक्स फाऊंडेशन या ना-नफा संस्थेच्या मदतीने हा प्रकल्प विकसित केला जाणार आहे.

प्रस्तावित प्रकल्प सॉफ्टवेअर वितरण चॅनेलची सुरक्षा सुधारेल आणि सॉफ्टवेअर घटक आणि अवलंबित्व (पुरवठा साखळी) बदलण्याच्या उद्देशाने हल्ल्यांपासून संरक्षण करेल. ओपन सोर्स सॉफ्टवेअरमधील प्रमुख सुरक्षा समस्यांपैकी एक म्हणजे प्रोग्रामचा स्त्रोत सत्यापित करण्यात आणि बिल्ड प्रक्रियेची पडताळणी करण्यात अडचण. उदाहरणार्थ, बहुतेक प्रकल्प रिलीझची अखंडता सत्यापित करण्यासाठी हॅश वापरतात, परंतु प्रमाणीकरणासाठी आवश्यक असलेली माहिती असुरक्षित सिस्टमवर आणि सामायिक कोड भांडारांमध्ये संग्रहित केली जाते, परिणामी आक्रमणकर्ते सत्यापनासाठी आवश्यक असलेल्या फायलींशी तडजोड करू शकतात आणि दुर्भावनापूर्ण बदल करू शकतात. संशय निर्माण न करता.

किल्या व्यवस्थापित करण्यात, सार्वजनिक की वितरीत करण्यात आणि तडजोड करण्यात आलेल्या की मागे घेण्यामध्ये अडचणींमुळे रिलीझचे वितरण करताना केवळ काही प्रॉजेक्ट डिजिटल स्वाक्षरी वापरतात. पडताळणीला अर्थ प्राप्त होण्यासाठी, सार्वजनिक की आणि चेकसम वितरीत करण्यासाठी विश्वसनीय आणि सुरक्षित प्रक्रिया आयोजित करणे देखील आवश्यक आहे. डिजिटल स्वाक्षरीसहही, बरेच वापरकर्ते पडताळणीकडे दुर्लक्ष करतात कारण त्यांना पडताळणी प्रक्रियेचा अभ्यास करण्यासाठी आणि कोणती की विश्वासार्ह आहे हे समजून घेण्यासाठी वेळ घालवावा लागतो.

Sigstore ला Let's Encrypt for code च्या समतुल्य म्हणून ओळखले जाते, डिजिटल स्वाक्षरी कोडसाठी प्रमाणपत्रे आणि स्वयंचलित सत्यापनासाठी साधने प्रदान करते. Sigstore सह, विकासक रिलीझ फाइल्स, कंटेनर इमेजेस, मॅनिफेस्ट आणि एक्झिक्युटेबल्स यासारख्या ऍप्लिकेशन-संबंधित कलाकृतींवर डिजिटल स्वाक्षरी करू शकतात. Sigstore चे एक विशेष वैशिष्ट्य म्हणजे स्वाक्षरीसाठी वापरलेली सामग्री छेडछाड-प्रूफ सार्वजनिक लॉगमध्ये प्रतिबिंबित होते जी पडताळणी आणि ऑडिटिंगसाठी वापरली जाऊ शकते.

कायमस्वरूपी कींऐवजी, सिगस्टोर अल्पकालीन तात्पुरत्या की वापरते, ज्या OpenID Connect प्रदात्यांद्वारे पुष्टी केलेल्या क्रेडेन्शियल्सच्या आधारे व्युत्पन्न केल्या जातात (डिजिटल स्वाक्षरीसाठी की व्युत्पन्न करताना, विकसक ईमेलशी लिंक केलेल्या OpenID प्रदात्याद्वारे स्वतःला ओळखतो). कीजची सत्यता सार्वजनिक केंद्रीकृत लॉग वापरून सत्यापित केली जाते, ज्यामुळे स्वाक्षरीचा लेखक नेमका कोण असल्याचा दावा करतो हे सत्यापित करणे शक्य करते आणि स्वाक्षरी त्याच सहभागीने तयार केली होती जो मागील प्रकाशनांसाठी जबाबदार होता.

Sigstore एक तयार सेवा प्रदान करते जी तुम्ही आधीच वापरू शकता आणि साधनांचा एक संच जो तुम्हाला तुमच्या स्वतःच्या उपकरणांवर समान सेवा तैनात करू देते. ही सेवा सर्व विकासक आणि सॉफ्टवेअर प्रदात्यांसाठी विनामूल्य आहे आणि ती एका तटस्थ प्लॅटफॉर्मवर तैनात केली जाते - Linux Foundation. सेवेचे सर्व घटक मुक्त स्रोत आहेत, Go मध्ये लिहिलेले आहेत आणि Apache 2.0 लायसन्स अंतर्गत वितरित केले आहेत.

विकसित घटकांपैकी आम्ही लक्षात घेऊ शकतो:

• रेकोर हे प्रकल्पांविषयी माहिती प्रतिबिंबित करणारा डिजिटल स्वाक्षरी केलेला मेटाडेटा संचयित करण्यासाठी एक लॉग अंमलबजावणी आहे. अखंडतेची खात्री करण्यासाठी आणि वस्तुस्थितीनंतर डेटा करप्शनपासून संरक्षण करण्यासाठी, वृक्षासारखी रचना “मर्कल ट्री” वापरली जाते, ज्यामध्ये प्रत्येक शाखा सर्व अंतर्निहित फांद्या आणि नोड्सची पडताळणी करते, संयुक्त (झाडांसारखे) हॅशिंगमुळे धन्यवाद. अंतिम हॅश असल्यास, वापरकर्ता ऑपरेशनच्या संपूर्ण इतिहासाची शुद्धता तसेच डेटाबेसच्या मागील स्थितीची शुद्धता सत्यापित करू शकतो (डेटाबेसच्या नवीन स्थितीचे मूळ सत्यापन हॅश मागील स्थिती लक्षात घेऊन गणना केली जाते. ). नवीन रेकॉर्ड सत्यापित करण्यासाठी आणि जोडण्यासाठी, एक आरामदायी API प्रदान केला आहे, तसेच एक cli इंटरफेस.
• Fulcio (SigStore WebPKI) ही प्रमाणपत्र प्राधिकरण (रूट-सीए) तयार करण्याची एक प्रणाली आहे जी OpenID Connect द्वारे प्रमाणीकृत ईमेलवर आधारित अल्पकालीन प्रमाणपत्रे जारी करते. प्रमाणपत्राचा आजीवन 20 मिनिटांचा आहे, ज्या दरम्यान विकासकाकडे डिजिटल स्वाक्षरी तयार करण्यासाठी वेळ असणे आवश्यक आहे (जर प्रमाणपत्र नंतर आक्रमणकर्त्याच्या हातात पडले तर ते आधीच कालबाह्य होईल).
• ओसीआय (ओपन कंटेनर इनिशिएटिव्ह) शी सुसंगत भांडारांमध्ये कंटेनरसाठी स्वाक्षरी तयार करण्यासाठी, स्वाक्षरी सत्यापित करण्यासाठी आणि स्वाक्षरी केलेले कंटेनर ठेवण्यासाठी Сosign (कंटेनर साइनिंग) हे टूलकिट आहे.

स्त्रोत: opennet.ru