{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Het gittuf-project ontwikkelt een cryptografisch beveiligingssysteem voor Git-repositories","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van het project gittuf 0.4 is beschikbaar, dat een hi\u00ebrarchisch verificatiesysteem ontwikkelt voor de inhoud van Git-repositories, waardoor de risico's in situaties van compromittering van individuele ontwikkelaars met toegang tot de repository worden geminimaliseerd. Gittuf biedt een extra beveiligingslaag voor Git en een set hulpmiddelen voor het beheer van de sleutels van alle ontwikkelaars met toegang tot de repository, en voor het instellen van toegangsregels voor takken, tags en individuele bestanden. De code van het project is geschreven in de programmeertaal Go en wordt verspreid onder de Apache 2.0-licentie. Het project is in actieve ontwikkeling en heeft de kwaliteit van een alfaberelease, die geschikt is voor experimenten, maar nog niet gereed is voor operationele implementaties. <\/p>\n
Informatie en artefacten die extra verificatie van aangebrachte wijzigingen mogelijk maken, worden opgeslagen in de Git-objectenopslag in een aparte namespace die specifiek is voor gittuf, wat de backward compatibility met bestaande tools en services, inclusief GitHub en GitLab, behoudt. Bij het gebruik van tools zonder ondersteuning voor gittuf blijft de repository volledig toegankelijk, maar is de mogelijkheid voor uitgebreide verificatie van de integriteit beperkt. De architectuur van gittuf is gebaseerd op beproefde elementen van het TUF (The Update Framework)-framework, dat wordt gebruikt ter bescherming van de updateprocessen in projecten zoals Docker, Fuchsia, AGL (Automotive Grade Linux) en PyPI. <\/p>\n
Het verificatiemodel in gittuf is gebaseerd op een hi\u00ebrarchisch systeem van vertrouwensverspreiding. De root of trust behoort toe aan de eigenaar van de repository, die sleutels voor ontwikkelingsleden kan genereren en regels kan bepalen volgens welke de aangemaakte sleutels kunnen worden toegepast. Gittuf maakt het mogelijk om flexibele, gedetailleerde regels op te stellen die de bevoegdheden van elke ontwikkelaar en het gedeelte van de repository waarin hij wijzigingen kan aanbrengen, bepalen. Zo kan een ontwikkelaar gemachtigd worden om tags aan te maken, wijzigingen aan te brengen in bepaalde takken of alleen specifieke bestanden in de repository te wijzigen. <\/p>\n
Ontwikkelaars en hun wijzigingen worden ge\u00efdentificeerd door sleutels en digitale handtekeningen. Gittuf stelt in staat om nieuwe sleutels te genereren, sleutels veilig te verspreiden, periodieke sleutelrotatie uit te voeren, gecompromitteerde sleutels in te trekken, toegangscontrolelijsten (ACL) te beheren en naamruimten in Git-repositories te beheren. Gittuf houdt ook een referentielogboek van alle wijzigingen bij (RSL \u2014 Referentiestaatlogboek), waarbij de integriteit en bescherming tegen terugwerkende kracht wordt gegarandeerd door een boomstructuur genaamd 'Merkle-boom' \u2014 elke tak verifieert alle onderliggende takken en knooppunten dankzij boomhashing (met een eindhash kan de gebruiker de juistheid van de hele transactiegeschiedenis verifi\u00ebren, evenals de juistheid van eerdere toestanden). <\/p>\n
Voor de verificatie van digitale handtekeningen van commits en tags genereert en verspreidt de eigenaar van de repository openbare sleutels die direct zijn geassocieerd met de repository. Om te voorkomen dat kwaadwillenden wijzigingen doorvoeren die zijn gemaakt na het verkrijgen van toegang tot de sleutels voor het genereren van digitale handtekeningen van individuele ontwikkelaars, worden mechanismen voor het intrekken en vervangen van sleutels toegepast. Sleutels hebben een beperkte levensduur en vereisen voortdurende updates om te beschermen tegen het ondertekenen met oude sleutels. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"