सिगस्टोर क्रिप्टोग्राफिक सत्यापन प्रणाली जाहीर केली

Google ने सिगस्टोर प्रकल्प तयार करणार्‍या घटकांच्या पहिल्या स्थिर प्रकाशनाच्या निर्मितीची घोषणा केली, जी कार्यरत अंमलबजावणी तयार करण्यासाठी योग्य घोषित केली गेली आहे. सिगस्टोर डिजिटल स्वाक्षरी वापरून सॉफ्टवेअर पडताळणीसाठी साधने आणि सेवा विकसित करते आणि बदलांच्या सत्यतेची पुष्टी करणारा सार्वजनिक लॉग राखते (पारदर्शकता लॉग). हा प्रकल्प Google, Red Hat, Cisco, vmWare, GitHub आणि HP Enterprise द्वारे OpenSSF (ओपन सोर्स सिक्युरिटी फाऊंडेशन) संस्था आणि पर्ड्यू युनिव्हर्सिटीच्या सहभागाने लिनक्स फाऊंडेशन या ना-नफा संस्थेच्या आश्रयाखाली विकसित केला जात आहे.

सिगस्टोरचा कोडसाठी लेट्स एन्क्रिप्टचा अॅनालॉग म्हणून विचार केला जाऊ शकतो, डिजिटल स्वाक्षरी कोडसाठी प्रमाणपत्रे आणि स्वयंचलित सत्यापनासाठी साधने प्रदान करतो. Sigstore सह, विकासक रिलीझ फाइल्स, कंटेनर इमेजेस, मॅनिफेस्ट आणि एक्झिक्युटेबल्स यासारख्या ऍप्लिकेशन-संबंधित कलाकृतींवर डिजिटल स्वाक्षरी करू शकतात. स्वाक्षरी सामग्री छेडछाड-प्रूफ सार्वजनिक लॉगमध्ये परावर्तित केली जाते जी पडताळणी आणि ऑडिटिंगसाठी वापरली जाऊ शकते.

कायमस्वरूपी कींऐवजी, सिगस्टोर अल्पकालीन तात्पुरत्या की वापरते, ज्या OpenID Connect प्रदात्यांद्वारे पुष्टी केलेल्या क्रेडेन्शियल्सच्या आधारे व्युत्पन्न केल्या जातात (डिजिटल स्वाक्षरी तयार करण्यासाठी आवश्यक की व्युत्पन्न करताना, विकसक स्वत: ला लिंक केलेल्या OpenID प्रदात्याद्वारे ओळखतो. ईमेल). कीजची सत्यता सार्वजनिक केंद्रीकृत लॉग वापरून सत्यापित केली जाते, ज्यामुळे स्वाक्षरीचा लेखक नेमका कोण असल्याचा दावा करतो हे सत्यापित करणे शक्य करते आणि स्वाक्षरी त्याच सहभागीने तयार केली होती जो मागील प्रकाशनांसाठी जबाबदार होता.

अंमलबजावणीसाठी सिगस्टोअरची तयारी दोन प्रमुख घटकांच्या प्रकाशनाच्या निर्मितीमुळे आहे - Rekor 1.0 आणि Fulcio 1.0, ज्याचे सॉफ्टवेअर इंटरफेस स्थिर घोषित केले गेले आहेत आणि ते बॅकवर्ड सुसंगत राहतील. सेवा घटक Go मध्ये लिहिलेले आहेत आणि Apache 2.0 लायसन्स अंतर्गत वितरित केले आहेत.

Rekor घटकामध्ये प्रकल्पांविषयी माहिती प्रतिबिंबित करणारा डिजिटल स्वाक्षरी केलेला मेटाडेटा संचयित करण्यासाठी लॉग अंमलबजावणी समाविष्ट आहे. अखंडता सुनिश्चित करण्यासाठी आणि तथ्यानंतर डेटा भ्रष्टाचारापासून संरक्षण करण्यासाठी, मर्कल ट्री ट्री स्ट्रक्चर वापरला जातो, ज्यामध्ये प्रत्येक शाखा संयुक्त (ट्री) हॅशिंगद्वारे सर्व अंतर्निहित शाखा आणि नोड्स सत्यापित करते. अंतिम हॅश असल्यास, वापरकर्ता ऑपरेशनच्या संपूर्ण इतिहासाची शुद्धता तसेच डेटाबेसच्या मागील स्थितीची शुद्धता सत्यापित करू शकतो (डेटाबेसच्या नवीन स्थितीचे मूळ सत्यापन हॅश मागील स्थिती लक्षात घेऊन गणना केली जाते. ). एक RESTful API पडताळणी आणि नवीन रेकॉर्ड जोडण्यासाठी तसेच कमांड लाइन इंटरफेस प्रदान केले आहे.

Fulcio घटक (SigStore WebPKI) मध्ये प्रमाणपत्र प्राधिकरण (रूट CA) तयार करण्यासाठी एक प्रणाली समाविष्ट आहे जी OpenID Connect द्वारे प्रमाणीकृत ईमेलवर आधारित अल्पकालीन प्रमाणपत्रे जारी करते. प्रमाणपत्राचा आजीवन 20 मिनिटांचा आहे, ज्या दरम्यान विकासकाकडे डिजिटल स्वाक्षरी तयार करण्यासाठी वेळ असणे आवश्यक आहे (जर प्रमाणपत्र नंतर आक्रमणकर्त्याच्या हातात पडले तर ते आधीच कालबाह्य होईल). याव्यतिरिक्त, प्रकल्प Cosign (कंटेनर साइनिंग) टूलकिट विकसित करत आहे, ज्याची रचना कंटेनरसाठी स्वाक्षरी निर्माण करण्यासाठी, स्वाक्षरी सत्यापित करण्यासाठी आणि OCI (ओपन कंटेनर इनिशिएटिव्ह) शी सुसंगत भांडारांमध्ये स्वाक्षरी केलेले कंटेनर ठेवण्यासाठी केली गेली आहे.

सिगस्टोरच्या अंमलबजावणीमुळे प्रोग्राम वितरण चॅनेलची सुरक्षा वाढवणे आणि लायब्ररी आणि अवलंबित्व (पुरवठा साखळी) बदलण्याच्या उद्देशाने हल्ल्यांपासून संरक्षण करणे शक्य होते. ओपन सोर्स सॉफ्टवेअरमधील प्रमुख सुरक्षा समस्यांपैकी एक म्हणजे प्रोग्रामचा स्त्रोत सत्यापित करण्यात आणि बिल्ड प्रक्रियेची पडताळणी करण्यात अडचण. उदाहरणार्थ, बहुतेक प्रकल्प रिलीझची अखंडता सत्यापित करण्यासाठी हॅश वापरतात, परंतु प्रमाणीकरणासाठी आवश्यक असलेली माहिती असुरक्षित सिस्टमवर आणि सामायिक कोड रेपॉजिटरीजमध्ये संग्रहित केली जाते, परिणामी आक्रमणकर्ते सत्यापनासाठी आवश्यक असलेल्या फायलींशी तडजोड करू शकतात आणि दुर्भावनापूर्ण बदल करू शकतात. संशय निर्माण न करता.

की व्यवस्थापित करणे, सार्वजनिक की वितरित करणे आणि तडजोड केलेल्या की मागे घेणे अशा अडचणींमुळे रिलीझ पडताळणीसाठी डिजिटल स्वाक्षरींचा वापर अद्याप व्यापक झालेला नाही. पडताळणीला अर्थ प्राप्त होण्यासाठी, सार्वजनिक की आणि चेकसम वितरीत करण्यासाठी विश्वासार्ह आणि सुरक्षित प्रक्रिया आयोजित करणे देखील आवश्यक आहे. डिजिटल स्वाक्षरीसहही, बरेच वापरकर्ते पडताळणीकडे दुर्लक्ष करतात कारण त्यांना पडताळणी प्रक्रिया शिकण्यासाठी आणि कोणती की विश्वासार्ह आहे हे समजून घेण्यासाठी वेळ घालवावा लागतो. सिगस्टोर प्रकल्प तयार आणि सिद्ध समाधान प्रदान करून या प्रक्रिया सुलभ आणि स्वयंचलित करण्याचा प्रयत्न करतो.

स्त्रोत: opennet.ru