GitHub heeft een voorstel ingediend voor de implementatie van de Sigstore-service voor de verificatie van pakketten met digitale handtekeningen en het bijhouden van een openbaar logboek ter bevestiging van de authenticiteit bij het verspreiden van releases. Het gebruik van Sigstore biedt een extra beveiligingslaag tegen aanvallen gericht op het vervalsen van softwarecomponenten en afhankelijkheden (supply chain). Bijvoorbeeld, de voorgestelde wijziging zal de broncode van projecten beschermen in het geval de account van een ontwikkelaar van een van de afhankelijkheden in NPM wordt gecompromitteerd en een aanvaller een pakketupdate met kwaadaardige code creƫert.
Dankzij het nieuwe beveiligingsniveau kunnen ontwikkelaars het gegenereerde pakket koppelen aan de gebruikte broncode en buildomgeving, waardoor gebruikers kunnen verifiĆ«ren of de inhoud van het pakket overeenkomt met de inhoud van de bronbestanden in de hoofdrepository van het project. Het gebruik van Sigstore vereenvoudigt het beheer van sleutels aanzienlijk en voorkomt de complicaties die gepaard gaan met registratie, intrekking en beheer van cryptografische sleutels. Sigstore wordt gepresenteerd als een alternatief voor Letās Encrypt voor code, dat certificaten biedt voor het ondertekenen van code met digitale handtekeningen en een toolkit voor automatisering van verificatie.
In plaats van permanente sleutels maakt Sigstore gebruik van kortlevende ephemere sleutels die worden gegenereerd op basis van bevoegdheden. Het materiaal dat voor ondertekening wordt gebruikt, wordt vastgelegd in een openbaar logboek dat bestand is tegen wijzigingen, waardoor kan worden geverifieerd dat de ondertekenaar daadwerkelijk degene is die hij of zij beweert te zijn, en de handtekening is gemaakt door dezelfde deelnemer die verantwoordelijk was voor eerdere releases. Voor de integriteit en bescherming tegen retroactieve gegevensmanipulatie wordt een boomstructuur, het 'Merkle Tree', toegepast, waarin elke tak alle onderliggende takken en knooppunten verifieert door middel van gezamenlijke (boombasiss) hashing. Met een uiteindelijke hash kan de gebruiker de juistheid van de gehele transactiegeschiedenis bevestigen, evenals de nauwkeurigheid van eerdere databasetoestanden (de root hash van de nieuwe database-status wordt berekend met inachtneming van de vorige status).
Bron: opennet.ru
