Google heeft bekendgemaakt dat de eerste stabiele versies van de componenten die het Sigstore-project vormen, zijn opgesteld en geschikt zijn voor echte implementaties. Sigstore ontwikkelt tools en services voor de verificatie van software via digitale handtekeningen en het bijhouden van een openbaar logboek dat de authenticiteit van wijzigingen bevestigt (transparantielogboek). Het project wordt ondersteund door de niet-winstgevende organisatie Linux Foundation in samenwerking met Google, Red Hat, Cisco, vmWare, GitHub en HP Enterprise, met deelname van de organisatie OpenSSF (Open Source Security Foundation) en de Purdue Universiteit. <\/p>\n
Sigstore kan worden beschouwd als het equivalent van Let's Encrypt voor code, dat certificaten biedt voor het verifi\u00ebren van code met digitale handtekeningen en een toolkit voor het automatiseren van controle. Met Sigstore kunnen ontwikkelaars digitale handtekeningen genereren voor applicatie-gerelateerde artefacten, zoals releasebestanden, containerimages, manifesten en uitvoerbare bestanden. Het materiaal dat voor de handtekening wordt gebruikt, wordt weerspiegeld in een onveranderlijk openbaar logboek, dat kan worden gebruikt voor verificatie en auditing. <\/p>\n
In plaats van permanente sleutels maakt Sigstore gebruik van kortlevende ephemere sleutels, die worden gegenereerd op basis van bevoegdheden die worden bevestigd door OpenID Connect-providers (op het moment van sleutelgeneratie, die nodig is voor het cre\u00ebren van digitale handtekeningen, identificeert de ontwikkelaar zichzelf via de OpenID-provider gekoppeld aan zijn e-mailadres). De authenticiteit van de sleutels wordt gecontroleerd via een openbaar gecentraliseerd logboek, dat bevestigt dat de ondertekenaar echt is wie hij zegt te zijn en dat de handtekening is gegenereerd door dezelfde deelnemer die verantwoordelijk was voor eerdere releases. <\/p>\n
De gereedheid van Sigstore voor implementatie wordt bepaald door de release van twee belangrijke componenten - Rekor 1.0 en Fulcio 1.0, waarvan de programmeerinterfaces als stabiel zijn aangekondigd en in de toekomst backward compatibility zullen behouden. De componenten van de service zijn geschreven in de programmeertaal Go en worden verspreid onder de Apache 2.0-licentie. <\/p>\n
De component Rekor bevat een implementatie van een logboek voor het opslaan van door digitale handtekeningen geverifieerde metadata, die informatie over projecten weerspiegelt. Voor de integriteit en bescherming tegen gegevensmanipulatie achteraf wordt een boomstructuur, het zogenaamde 'Merkle-boom', gebruikt, waarin elke tak alle onderliggende takken en knooppunten verifieert door middel van een gezamenlijke (boomachtige) hashing. Met een eindhash kan de gebruiker de juistheid van de hele geschiedenis van bewerkingen verifi\u00ebren, evenals de correctheid van eerdere database-toestanden (de wortelcontrolehash van de nieuwe database-toestand wordt berekend rekening houdend met de vorige toestand). Voor verificatie en het toevoegen van nieuwe records is er een RESTful API en een command-line interface beschikbaar. <\/p>\n
De Fulcio-component (SigStore WebPKI) omvat een systeem voor het cre\u00ebren van certificeringsinstanties (root CA) die kortlevende certificaten op basis van e-mail uitgeven, geverifieerd via OpenID Connect. De levensduur van het certificaat bedraagt 20 minuten, waarin de ontwikkelaar een digitale handtekening moet vormen (als het certificaat later in handen van een aanvaller komt, is het al verlopen). Daarnaast ontwikkelt het project de Cosign-toolset (Container Signing) voor het genereren van handtekeningen voor containers, het verifi\u00ebren van handtekeningen en het plaatsen van ondertekende containers in OCI-compatibele repositories (Open Container Initiative). <\/p>\n
De implementatie van Sigstore maakt het mogelijk de beveiliging van software verspreidingskanalen te verbeteren en te beschermen tegen aanvallen die gericht zijn op het vervangen van bibliotheken en afhankelijkheden (supply chain). Een van de belangrijkste beveiligingsproblemen in open-source software is de complexiteit van het verifi\u00ebren van de bron van de software en het verifi\u00ebren van het buildproces. Bijvoorbeeld, voor het controleren van de integriteit van een release gebruiken de meeste projecten hashes, maar vaak is de benodigde informatie voor authenticatie opgeslagen op onbeveiligde systemen en in openbare code-repositories, waardoor aanvallers de noodzakelijke verificatiebestanden kunnen vervangen en schadelijke wijzigingen kunnen aanbrengen zonder argwaan te wekken. <\/p>\n
Het gebruik van digitale handtekeningen voor de verificatie van releases heeft nog niet wijdverspreide toepassing gevonden vanwege de complexiteit van het beheer van sleutels, de distributie van openbare sleutels en het intrekken van gecompromitteerde sleutels. Om verificatie zinvol te maken, is het bovendien noodzakelijk om een betrouwbare en veilige proces voor de distributie van openbare sleutels en hashes op te zetten. Zelfs met een digitale handtekening negeren veel gebruikers de verificatie, omdat ze tijd moeten besteden aan het bestuderen van het verificatieproces en begrijpen welke sleutel betrouwbaar is. Het project Sigstore probeert deze processen te vereenvoudigen en te automatiseren door een kant-en-klaar en getest oplossing te bieden. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439. Sigstore \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u043b\u044f \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u0445 \u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439 \u0438 \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 (transparency log). \u041f\u0440\u043e\u0435\u043a\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u044d\u0433\u0438\u0434\u043e\u0439 \u043d\u0435\u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 Linux Foundation \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Google, Red Hat, Cisco, vmWare, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105382","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47De cryptografische verificatiesysteem van Sigstore is aangekondigd als klaar | ProHoster","description":"Google heeft de formele introductie van de eerste stabiele versies van de componenten die het Sigstore-project vormen, aangekondigd, dat geschikt is voor het cre\u00ebren van functionele implementaties.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043e \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0434\u0430 Sigstore | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-10-25T19:36:48+00:00","article:modified_time":"2022-10-25T19:36:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/105382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=105382"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/105382\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=105382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=105382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=105382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"