{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat en Google hebben Sigstore gelanceerd, een dienst voor cryptografische verificatie van code","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

De bedrijven Red Hat en Google hebben samen met de Purdue University het Sigstore-project opgericht, dat gericht is op het cre\u00ebren van tools en diensten voor de verificatie van software met behulp van digitale handtekeningen en het bijhouden van een openbaar logboek ter bevestiging van authenticiteit (transparency log). Het project zal worden voortgezet onder de auspici\u00ebn van de non-profitorganisatie Linux Foundation. <\/p>\n

Het voorgestelde project zal de beveiliging van distributiekanalen van software verbeteren en bescherming bieden tegen aanvallen die gericht zijn op het vervalsen van softwarecomponenten en afhankelijkheden (supply chain). Een van de belangrijkste beveiligingsproblemen in open source software is de complexiteit van het verifi\u00ebren van de bron van de software en het controleren van het bouwproces. Bijvoorbeeld, voor de integriteitscontrole van een release gebruiken de meeste projecten hashes, maar vaak wordt de benodigde informatie voor authenticatie opgeslagen op onveilige systemen en in openbare code-repositories, waardoor aanvallers benodigde verificatiebestanden kunnen vervalsen en ongezien schadelijke wijzigingen kunnen aanbrengen. <\/p>\n

Slechts een klein aantal projecten maakt gebruik van digitale handtekeningen bij het verspreiden van releases vanwege de moeilijkheden bij het beheren van sleutels, het verspreiden van openbare sleutels en het intrekken van gecompromitteerde sleutels. Om verificatie logisch te maken, is het ook noodzakelijk om een betrouwbaar en veilig proces voor het verspreiden van openbare sleutels en controlegetallen te organiseren. Zelfs met een digitale handtekening negeren veel gebruikers de controle, omdat ze tijd moeten besteden aan het bestuderen van het verificatieproces en moeten begrijpen welke sleutel vertrouwd kan worden. <\/p>\n

Sigstore wordt gepresenteerd als een alternatief voor Let's Encrypt voor code, dat certificaten biedt voor het ondertekenen van code met digitale handtekeningen en een toolkit voor het automatiseren van verificatie. Met Sigstore kunnen ontwikkelaars digitale handtekeningen genereren voor applicatiegerelateerde artefacten, zoals releasebestanden, containerimages, manifesten en uitvoerbare bestanden. Een kenmerk van Sigstore is dat het materiaal dat voor de handtekening wordt gebruikt, wordt weerspiegeld in een onveranderlijke publieke logboek, dat kan worden gebruikt voor verificatie en audit. <\/p>\n

In plaats van permanente sleutels maakt Sigstore gebruik van kortlevende, tijdelijke sleutels die worden gegenereerd op basis van bevoegdheden die zijn bevestigd door OpenID Connect-providers (op het moment van sleutelgeneratie identificeert de ontwikkelaar zichzelf via de OpenID-provider met een koppeling naar e-mail). De authenticiteit van de sleutels wordt gecontroleerd via een publieke, gecentraliseerde log, die bevestigt dat de auteur van de handtekening degene is die hij of zij beweert te zijn en dat de handtekening is gevormd door dezelfde deelnemer die verantwoordelijk was voor eerdere releases. <\/p>\n

Sigstore biedt zowel een kant-en-klare service die al kan worden gebruikt, als een set hulpmiddelen waarmee vergelijkbare services op eigen apparatuur kunnen worden uitgerold. De service is gratis voor alle ontwikkelaars en softwareleveranciers en is uitgevoerd op een neutrale locatie \u2014 de Linux Foundation. Alle componenten van de service zijn open-source, geschreven in de programmeertaal Go en onder licentie Apache 2.0 verspreid. <\/p>\n

Van de ontwikkelde componenten kunnen we het volgende noemen: <\/p>\n