रेड ह्याट र गुगलले सिगस्टोर, क्रिप्टोग्राफिक कोड प्रमाणिकरणको लागि सेवा प्रस्तुत गर्‍यो

Red Hat र Google ले पर्ड्यू विश्वविद्यालयसँग मिलेर सिगस्टोर परियोजनाको स्थापना गर्‍यो, जसको उद्देश्य डिजिटल हस्ताक्षरहरू प्रयोग गरेर सफ्टवेयर प्रमाणीकरण गर्न र प्रामाणिकता (पारदर्शिता लग) पुष्टि गर्न सार्वजनिक लग कायम गर्नका लागि उपकरण र सेवाहरू सिर्जना गर्ने उद्देश्यले थियो। यो परियोजना गैर-लाभकारी संस्था लिनक्स फाउन्डेसनको सहयोगमा विकसित हुनेछ।

प्रस्तावित परियोजनाले सफ्टवेयर वितरण च्यानलहरूको सुरक्षा सुधार गर्नेछ र सफ्टवेयर कम्पोनेन्टहरू र निर्भरताहरू (आपूर्ति श्रृंखला) प्रतिस्थापन गर्ने उद्देश्यले आक्रमणहरू विरुद्ध सुरक्षा गर्नेछ। खुला स्रोत सफ्टवेयरमा प्रमुख सुरक्षा समस्याहरू मध्ये एक कार्यक्रमको स्रोत प्रमाणित गर्न र निर्माण प्रक्रिया प्रमाणित गर्न कठिनाई हो। उदाहरणका लागि, धेरैजसो परियोजनाहरूले रिलीजको अखण्डता प्रमाणित गर्न ह्यासहरू प्रयोग गर्छन्, तर प्रायः प्रमाणीकरणका लागि आवश्यक जानकारी असुरक्षित प्रणालीहरूमा र साझा कोड भण्डारहरूमा भण्डारण गरिन्छ, जसको परिणाम स्वरूप आक्रमणकारीहरूले प्रमाणीकरणका लागि आवश्यक फाइलहरू सम्झौता गर्न सक्छन् र मालिसियस परिवर्तनहरू परिचय गर्न सक्छन्। शंका नगरी।

साँचोहरू प्रबन्ध गर्न, सार्वजनिक कुञ्जीहरू वितरण गर्न, र सम्झौता गरिएका कुञ्जीहरू रद्द गर्ने कठिनाइहरूको कारण रिलीजहरू वितरण गर्दा परियोजनाहरूको सानो अनुपातले मात्र डिजिटल हस्ताक्षरहरू प्रयोग गर्दछ। प्रमाणीकरणको अर्थ बनाउनको लागि, सार्वजनिक कुञ्जीहरू र चेकसमहरू वितरणको लागि भरपर्दो र सुरक्षित प्रक्रिया व्यवस्थित गर्न पनि आवश्यक छ। डिजिटल हस्ताक्षरको साथमा पनि, धेरै प्रयोगकर्ताहरूले प्रमाणीकरणलाई बेवास्ता गर्छन् किनभने उनीहरूले प्रमाणीकरण प्रक्रियाको अध्ययन गर्न र कुन कुञ्जी विश्वसनीय छ भनेर बुझ्न समय खर्च गर्न आवश्यक छ।

Sigstore लाई कोडको लागि Let's Encrypt को बराबरको रूपमा चिनिन्छ, डिजिटल रूपमा हस्ताक्षर गर्ने कोड र स्वचालित प्रमाणीकरणका लागि उपकरणहरूको लागि प्रमाणपत्रहरू प्रदान गर्दछ। सिगस्टोरको साथ, विकासकर्ताहरूले अनुप्रयोग-सम्बन्धित कलाकृतिहरू जस्तै रिलीज फाइलहरू, कन्टेनर छविहरू, प्रकटहरू, र कार्यान्वयनयोग्यहरू डिजिटल रूपमा हस्ताक्षर गर्न सक्छन्। Sigstore को एक विशेष विशेषता यो हो कि हस्ताक्षर गर्न को लागी प्रयोग गरिएको सामग्री छेडछाड-प्रमाण सार्वजनिक लग मा प्रतिबिम्बित हुन्छ जुन प्रमाणीकरण र लेखा परीक्षण को लागी प्रयोग गर्न सकिन्छ।

स्थायी कुञ्जीहरूको सट्टा, सिगस्टोरले अल्पकालीन अल्पकालीन कुञ्जीहरू प्रयोग गर्दछ, जुन OpenID जडान प्रदायकहरूद्वारा पुष्टि गरिएका प्रमाणहरूमा आधारित हुन्छन् (डिजिटल हस्ताक्षरका लागि कुञ्जीहरू उत्पन्न गर्दा, विकासकर्ताले इमेलमा लिङ्क गरिएको OpenID प्रदायक मार्फत आफूलाई पहिचान गर्छ)। कुञ्जीहरूको प्रमाणिकता सार्वजनिक केन्द्रीकृत लग प्रयोग गरेर प्रमाणित हुन्छ, जसले हस्ताक्षरको लेखक वास्तवमा उसले दाबी गरेको व्यक्ति हो र हस्ताक्षर विगतका रिलीजहरूको लागि जिम्मेवार उही सहभागीद्वारा गठन गरिएको थियो भनेर प्रमाणित गर्न सम्भव बनाउँदछ।

Sigstore ले तपाइँले पहिले नै प्रयोग गर्न सक्नुहुने तयार सेवा र तपाइँको आफ्नै उपकरणहरूमा समान सेवाहरू प्रयोग गर्न अनुमति दिने उपकरणहरूको सेट दुवै प्रदान गर्दछ। सेवा सबै विकासकर्ताहरू र सफ्टवेयर प्रदायकहरूका लागि निःशुल्क छ, र एक तटस्थ प्लेटफर्म - लिनक्स फाउन्डेशनमा तैनात गरिएको छ। सेवाका सबै कम्पोनेन्टहरू खुला स्रोत हुन्, Go मा लेखिएका छन् र Apache 2.0 लाइसेन्स अन्तर्गत वितरित छन्।

विकसित कम्पोनेन्टहरू मध्ये हामी नोट गर्न सक्छौं:

• Rekor परियोजनाहरू बारे जानकारी प्रतिबिम्बित डिजिटल हस्ताक्षर गरिएको मेटाडाटा भण्डारण गर्न लग कार्यान्वयन हो। अखण्डता सुनिश्चित गर्न र तथ्य पछि डेटा भ्रष्टाचार विरुद्ध सुरक्षा गर्न, रूख जस्तो संरचना "मर्कल ट्री" प्रयोग गरिन्छ, जसमा प्रत्येक शाखाले सबै अन्तर्निहित शाखाहरू र नोडहरू प्रमाणित गर्दछ, संयुक्त (रुख-जस्तै) ह्यासिङको लागि धन्यवाद। अन्तिम ह्यास भएको, प्रयोगकर्ताले अपरेशनको सम्पूर्ण इतिहासको शुद्धता, साथै डाटाबेसको विगतका राज्यहरूको शुद्धता प्रमाणित गर्न सक्छ (डेटाबेसको नयाँ अवस्थाको मूल प्रमाणिकरण ह्यास विगतको अवस्थालाई ध्यानमा राखेर गणना गरिन्छ। )। प्रमाणित गर्न र नयाँ रेकर्डहरू थप्नको लागि, एक आरामदायी एपीआई प्रदान गरिएको छ, साथै क्लाइ इन्टरफेस।
• Fulcio (SigStore WebPKI) प्रमाणीकरण प्राधिकरणहरू (Root-CAs) सिर्जना गर्ने प्रणाली हो जसले OpenID Connect मार्फत प्रमाणीकरण गरिएको इमेलमा आधारित अल्पकालीन प्रमाणपत्रहरू जारी गर्दछ। प्रमाणपत्रको जीवनकाल 20 मिनेट हो, जसको अवधिमा विकासकर्तासँग डिजिटल हस्ताक्षर उत्पन्न गर्न समय हुनुपर्छ (यदि प्रमाणपत्र पछि आक्रमणकारीको हातमा पर्यो भने, यो पहिले नै समाप्त हुनेछ)।
• Сosign (कन्टेनर साइनिंग) कन्टेनरहरूको लागि हस्ताक्षरहरू उत्पन्न गर्न, हस्ताक्षरहरू प्रमाणित गर्न र OCI (ओपन कन्टेनर पहल) सँग मिल्दो भण्डारहरूमा हस्ताक्षरित कन्टेनरहरू राख्नको लागि एउटा टुलकिट हो।

स्रोत: opennet.ru