De bedrijven Red Hat en Google hebben samen met de Purdue University het Sigstore-project opgericht, dat gericht is op het creƫren van tools en diensten voor de verificatie van software met behulp van digitale handtekeningen en het bijhouden van een openbaar logboek ter bevestiging van authenticiteit (transparency log). Het project zal worden voortgezet onder de auspiciƫn van de non-profitorganisatie Linux Foundation.
Het voorgestelde project zal de beveiliging van distributiekanalen van software verbeteren en bescherming bieden tegen aanvallen die gericht zijn op het vervalsen van softwarecomponenten en afhankelijkheden (supply chain). Een van de belangrijkste beveiligingsproblemen in open source software is de complexiteit van het verifiƫren van de bron van de software en het controleren van het bouwproces. Bijvoorbeeld, voor de integriteitscontrole van een release gebruiken de meeste projecten hashes, maar vaak wordt de benodigde informatie voor authenticatie opgeslagen op onveilige systemen en in openbare code-repositories, waardoor aanvallers benodigde verificatiebestanden kunnen vervalsen en ongezien schadelijke wijzigingen kunnen aanbrengen.
Slechts een klein aantal projecten maakt gebruik van digitale handtekeningen bij het verspreiden van releases vanwege de moeilijkheden bij het beheren van sleutels, het verspreiden van openbare sleutels en het intrekken van gecompromitteerde sleutels. Om verificatie logisch te maken, is het ook noodzakelijk om een betrouwbaar en veilig proces voor het verspreiden van openbare sleutels en controlegetallen te organiseren. Zelfs met een digitale handtekening negeren veel gebruikers de controle, omdat ze tijd moeten besteden aan het bestuderen van het verificatieproces en moeten begrijpen welke sleutel vertrouwd kan worden.
Sigstore wordt gepresenteerd als de Letās Encrypt voor code, die certificaten biedt voor het ondertekenen van code met digitale handtekeningen en een toolkit voor het automatiseren van verificatie. Met Sigstore kunnen ontwikkelaars digitale handtekeningen creĆ«ren voor applicatiegerelateerde artefacten, zoals releasebestanden, containerafbeeldingen, manifesten en uitvoerbare bestanden. Een kenmerk van Sigstore is dat het materiaal dat voor de handtekening wordt gebruikt, wordt vastgelegd in een onveranderlijk openbaar logboek dat kan worden gebruikt voor verificatie en auditing.
In plaats van permanente sleutels maakt Sigstore gebruik van kortlevende, tijdelijke sleutels die worden gegenereerd op basis van bevoegdheden die zijn bevestigd door OpenID Connect-providers (op het moment van sleutelgeneratie identificeert de ontwikkelaar zichzelf via de OpenID-provider met een koppeling naar e-mail). De authenticiteit van de sleutels wordt gecontroleerd via een publieke, gecentraliseerde log, die bevestigt dat de auteur van de handtekening degene is die hij of zij beweert te zijn en dat de handtekening is gevormd door dezelfde deelnemer die verantwoordelijk was voor eerdere releases.
Sigstore biedt zowel een kant-en-klaar dienst die direct kan worden gebruikt als een set tools waarmee vergelijkbare services op eigen hardware kunnen worden uitgerold. De service is gratis voor alle ontwikkelaars en softwareleveranciers en is uitgerold op een neutrale locatie ā de Linux Foundation. Alle componenten van de service zijn open source, geschreven in de programmeertaal Go en worden verspreid onder de Apache 2.0-licentie.
Van de ontwikkelde componenten kunnen we het volgende noemen:
- Rekor ā een implementatie van een log voor het opslaan van geverifieerde digitale handtekeningen metadata, die informatie over projecten weerspiegelt. Om de integriteit en bescherming tegen vervalsing van gegevens achteraf te waarborgen, wordt een boomstructuur 'Merkle Tree' gebruikt, waarbij elke tak alle onderliggende takken en knooppunten verifieert door middel van gezamenlijke (boom) hashing. Met een eindhash kan de gebruiker de juistheid van de hele geschiedenis van handelingen bevestigen, evenals de juistheid van eerdere database-statussen (de wortelcontrolehash van de nieuwe staat van de database wordt berekend rekening houdend met de vorige staat). Voor verificatie en het toevoegen van nieuwe records is er een Restful API en een cli-interface beschikbaar.
- Fulcio (SigStore WebPKI) ā een systeem voor het creĆ«ren van certificeringscentra (Root-CA) die kortlevende certificaten verstrekken op basis van e-mail, geverifieerd via OpenID Connect. De levensduur van het certificaat bedraagt 20 minuten, waarin de ontwikkelaar een digitale handtekening moet genereren (als het certificaat later in handen van een kwaadwillende komt, is het al verlopen).
- Cosign (Container Signing) ā een hulpmiddel voor het creĆ«ren van handtekeningen voor containers, het controleren van handtekeningen en het plaatsen van ondertekende containers in repositories die compatibel zijn met OCI (Open Container Initiative).
Bron: opennet.ru
