Red Hat ਅਤੇ Google ਨੇ ਸਿਗਸਟੋਰ, ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਕੋਡ ਵੈਰੀਫਿਕੇਸ਼ਨ ਲਈ ਇੱਕ ਸੇਵਾ ਪੇਸ਼ ਕੀਤੀ

Red Hat ਅਤੇ Google, ਪਰਡਿਊ ਯੂਨੀਵਰਸਿਟੀ ਦੇ ਨਾਲ ਮਿਲ ਕੇ, ਸਿਗਸਟੋਰ ਪ੍ਰੋਜੈਕਟ ਦੀ ਸਥਾਪਨਾ ਕੀਤੀ, ਜਿਸਦਾ ਉਦੇਸ਼ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਾਫਟਵੇਅਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ (ਪਾਰਦਰਸ਼ਤਾ ਲੌਗ) ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਇੱਕ ਜਨਤਕ ਲੌਗ ਨੂੰ ਕਾਇਮ ਰੱਖਣ ਲਈ ਟੂਲ ਅਤੇ ਸੇਵਾਵਾਂ ਬਣਾਉਣਾ ਹੈ। ਇਹ ਪ੍ਰੋਜੈਕਟ ਗੈਰ-ਲਾਭਕਾਰੀ ਸੰਸਥਾ ਲੀਨਕਸ ਫਾਊਂਡੇਸ਼ਨ ਦੀ ਸਰਪ੍ਰਸਤੀ ਹੇਠ ਵਿਕਸਤ ਕੀਤਾ ਜਾਵੇਗਾ।

ਪ੍ਰਸਤਾਵਿਤ ਪ੍ਰੋਜੈਕਟ ਸਾਫਟਵੇਅਰ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਚੈਨਲਾਂ ਦੀ ਸੁਰੱਖਿਆ ਵਿੱਚ ਸੁਧਾਰ ਕਰੇਗਾ ਅਤੇ ਸਾਫਟਵੇਅਰ ਕੰਪੋਨੈਂਟਸ ਅਤੇ ਨਿਰਭਰਤਾ (ਸਪਲਾਈ ਚੇਨ) ਨੂੰ ਬਦਲਣ ਦੇ ਉਦੇਸ਼ ਨਾਲ ਹਮਲਿਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਕਰੇਗਾ। ਓਪਨ ਸੋਰਸ ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਮੁੱਖ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਪ੍ਰੋਗਰਾਮ ਦੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ ਬਿਲਡ ਪ੍ਰਕਿਰਿਆ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵਿੱਚ ਮੁਸ਼ਕਲ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜ਼ਿਆਦਾਤਰ ਪ੍ਰੋਜੈਕਟ ਰੀਲੀਜ਼ ਦੀ ਇਕਸਾਰਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਹੈਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਪਰ ਅਕਸਰ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਅਸੁਰੱਖਿਅਤ ਸਿਸਟਮਾਂ ਅਤੇ ਸ਼ੇਅਰਡ ਕੋਡ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਹਮਲਾਵਰ ਤਸਦੀਕ ਲਈ ਲੋੜੀਂਦੀਆਂ ਫਾਈਲਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਪੇਸ਼ ਕਰ ਸਕਦੇ ਹਨ। ਬਿਨਾਂ ਸ਼ੱਕ ਕੀਤੇ।

ਕੁੰਜੀਆਂ ਦੇ ਪ੍ਰਬੰਧਨ, ਜਨਤਕ ਕੁੰਜੀਆਂ ਨੂੰ ਵੰਡਣ, ਅਤੇ ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਰੱਦ ਕਰਨ ਵਿੱਚ ਮੁਸ਼ਕਲਾਂ ਕਾਰਨ ਰੀਲੀਜ਼ਾਂ ਨੂੰ ਵੰਡਣ ਵੇਲੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦਾ ਇੱਕ ਛੋਟਾ ਜਿਹਾ ਅਨੁਪਾਤ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਤਸਦੀਕ ਨੂੰ ਅਰਥ ਬਣਾਉਣ ਲਈ, ਜਨਤਕ ਕੁੰਜੀਆਂ ਅਤੇ ਚੈੱਕਸਮਾਂ ਨੂੰ ਵੰਡਣ ਲਈ ਇੱਕ ਭਰੋਸੇਯੋਗ ਅਤੇ ਸੁਰੱਖਿਅਤ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨਾ ਵੀ ਜ਼ਰੂਰੀ ਹੈ। ਡਿਜੀਟਲ ਦਸਤਖਤ ਦੇ ਨਾਲ ਵੀ, ਬਹੁਤ ਸਾਰੇ ਉਪਭੋਗਤਾ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹਨ ਕਿਉਂਕਿ ਉਹਨਾਂ ਨੂੰ ਤਸਦੀਕ ਪ੍ਰਕਿਰਿਆ ਦਾ ਅਧਿਐਨ ਕਰਨ ਅਤੇ ਇਹ ਸਮਝਣ ਵਿੱਚ ਸਮਾਂ ਬਿਤਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਕਿ ਕਿਹੜੀ ਕੁੰਜੀ ਭਰੋਸੇਯੋਗ ਹੈ।

ਸਿਗਸਟੋਰ ਨੂੰ ਕੋਡ ਲਈ Let's Encrypt ਦੇ ਬਰਾਬਰ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਡਿਜ਼ੀਟਲ ਸਾਈਨ ਕਰਨ ਵਾਲੇ ਕੋਡ ਲਈ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਸਵੈਚਲਿਤ ਪੁਸ਼ਟੀਕਰਨ ਲਈ ਟੂਲ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਸਿਗਸਟੋਰ ਦੇ ਨਾਲ, ਡਿਵੈਲਪਰ ਐਪਲੀਕੇਸ਼ਨ-ਸਬੰਧਤ ਕਲਾਤਮਕ ਚੀਜ਼ਾਂ ਜਿਵੇਂ ਕਿ ਰੀਲੀਜ਼ ਫਾਈਲਾਂ, ਕੰਟੇਨਰ ਚਿੱਤਰ, ਮੈਨੀਫੈਸਟ ਅਤੇ ਐਗਜ਼ੀਕਿਊਟੇਬਲਾਂ 'ਤੇ ਡਿਜੀਟਲ ਤੌਰ 'ਤੇ ਹਸਤਾਖਰ ਕਰ ਸਕਦੇ ਹਨ। ਸਿਗਸਟੋਰ ਦੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਹੈ ਕਿ ਦਸਤਖਤ ਕਰਨ ਲਈ ਵਰਤੀ ਗਈ ਸਮੱਗਰੀ ਇੱਕ ਛੇੜਛਾੜ-ਪ੍ਰੂਫ ਪਬਲਿਕ ਲੌਗ ਵਿੱਚ ਪ੍ਰਤੀਬਿੰਬਤ ਹੁੰਦੀ ਹੈ ਜਿਸਦੀ ਵਰਤੋਂ ਤਸਦੀਕ ਅਤੇ ਆਡਿਟਿੰਗ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਸਥਾਈ ਕੁੰਜੀਆਂ ਦੀ ਬਜਾਏ, ਸਿਗਸਟੋਰ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਅਲੌਕਿਕ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਓਪਨਆਈਡੀ ਕਨੈਕਟ ਪ੍ਰਦਾਤਾਵਾਂ ਦੁਆਰਾ ਪੁਸ਼ਟੀ ਕੀਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ (ਡਿਜ਼ੀਟਲ ਦਸਤਖਤ ਲਈ ਕੁੰਜੀਆਂ ਤਿਆਰ ਕਰਨ ਦੇ ਸਮੇਂ, ਡਿਵੈਲਪਰ ਇੱਕ ਈਮੇਲ ਨਾਲ ਜੁੜੇ ਇੱਕ OpenID ਪ੍ਰਦਾਤਾ ਦੁਆਰਾ ਆਪਣੀ ਪਛਾਣ ਕਰਦਾ ਹੈ)। ਕੁੰਜੀਆਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਇੱਕ ਜਨਤਕ ਕੇਂਦਰੀਕ੍ਰਿਤ ਲੌਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਦਸਤਖਤ ਦਾ ਲੇਖਕ ਬਿਲਕੁਲ ਉਹੀ ਹੈ ਜਿਸਦਾ ਉਹ ਦਾਅਵਾ ਕਰਦਾ ਹੈ ਅਤੇ ਦਸਤਖਤ ਉਸੇ ਭਾਗੀਦਾਰ ਦੁਆਰਾ ਬਣਾਏ ਗਏ ਸਨ ਜੋ ਪਿਛਲੀਆਂ ਰੀਲੀਜ਼ਾਂ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਸੀ।

ਸਿਗਸਟੋਰ ਇੱਕ ਤਿਆਰ-ਕੀਤੀ ਸੇਵਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਵਰਤ ਸਕਦੇ ਹੋ, ਅਤੇ ਸਾਧਨਾਂ ਦਾ ਇੱਕ ਸੈੱਟ ਜੋ ਤੁਹਾਨੂੰ ਆਪਣੇ ਖੁਦ ਦੇ ਉਪਕਰਣਾਂ 'ਤੇ ਸਮਾਨ ਸੇਵਾਵਾਂ ਨੂੰ ਤਾਇਨਾਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਹ ਸੇਵਾ ਸਾਰੇ ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸੌਫਟਵੇਅਰ ਪ੍ਰਦਾਤਾਵਾਂ ਲਈ ਮੁਫਤ ਹੈ, ਅਤੇ ਇੱਕ ਨਿਰਪੱਖ ਪਲੇਟਫਾਰਮ - Linux ਫਾਊਂਡੇਸ਼ਨ 'ਤੇ ਤਾਇਨਾਤ ਹੈ। ਸੇਵਾ ਦੇ ਸਾਰੇ ਹਿੱਸੇ ਓਪਨ ਸੋਰਸ ਹਨ, ਗੋ ਵਿੱਚ ਲਿਖੇ ਗਏ ਹਨ ਅਤੇ ਅਪਾਚੇ 2.0 ਲਾਇਸੰਸ ਦੇ ਤਹਿਤ ਵੰਡੇ ਗਏ ਹਨ।

ਵਿਕਸਤ ਭਾਗਾਂ ਵਿੱਚੋਂ ਅਸੀਂ ਨੋਟ ਕਰ ਸਕਦੇ ਹਾਂ:

• Rekor ਪ੍ਰੋਜੈਕਟਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਡਿਜੀਟਲ ਤੌਰ 'ਤੇ ਹਸਤਾਖਰਿਤ ਮੈਟਾਡੇਟਾ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਇੱਕ ਲੌਗ ਲਾਗੂਕਰਨ ਹੈ। ਅਖੰਡਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਅਤੇ ਤੱਥਾਂ ਤੋਂ ਬਾਅਦ ਡੇਟਾ ਭ੍ਰਿਸ਼ਟਾਚਾਰ ਤੋਂ ਬਚਾਉਣ ਲਈ, ਇੱਕ ਰੁੱਖ-ਵਰਗੀ ਬਣਤਰ "Merkle Tree" ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਹਰੇਕ ਸ਼ਾਖਾ ਸਾਰੀਆਂ ਅੰਡਰਲਾਈੰਗ ਸ਼ਾਖਾਵਾਂ ਅਤੇ ਨੋਡਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ, ਸੰਯੁਕਤ (ਰੁੱਖ ਵਰਗੀ) ਹੈਸ਼ਿੰਗ ਲਈ ਧੰਨਵਾਦ। ਅੰਤਮ ਹੈਸ਼ ਹੋਣ ਨਾਲ, ਉਪਭੋਗਤਾ ਸੰਚਾਲਨ ਦੇ ਪੂਰੇ ਇਤਿਹਾਸ ਦੀ ਸ਼ੁੱਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦਾ ਹੈ, ਨਾਲ ਹੀ ਡੇਟਾਬੇਸ ਦੀਆਂ ਪਿਛਲੀਆਂ ਸਥਿਤੀਆਂ ਦੀ ਸ਼ੁੱਧਤਾ (ਡਾਟਾਬੇਸ ਦੀ ਨਵੀਂ ਸਥਿਤੀ ਦਾ ਰੂਟ ਵੈਰੀਫਿਕੇਸ਼ਨ ਹੈਸ਼ ਪਿਛਲੀ ਸਥਿਤੀ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ) ). ਨਵੇਂ ਰਿਕਾਰਡਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ ਜੋੜਨ ਲਈ, ਇੱਕ ਆਰਾਮਦਾਇਕ API ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਹੈ, ਨਾਲ ਹੀ ਇੱਕ cli ਇੰਟਰਫੇਸ।
• Fulcio (SigStore WebPKI) ਪ੍ਰਮਾਣੀਕਰਨ ਅਥਾਰਟੀ (ਰੂਟ-CAs) ਬਣਾਉਣ ਲਈ ਇੱਕ ਪ੍ਰਣਾਲੀ ਹੈ ਜੋ OpenID ਕਨੈਕਟ ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਈਮੇਲ ਦੇ ਆਧਾਰ 'ਤੇ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਦੀ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਦਾ ਜੀਵਨ ਕਾਲ 20 ਮਿੰਟ ਹੈ, ਜਿਸ ਦੌਰਾਨ ਡਿਵੈਲਪਰ ਕੋਲ ਇੱਕ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਸਮਾਂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ (ਜੇ ਸਰਟੀਫਿਕੇਟ ਬਾਅਦ ਵਿੱਚ ਕਿਸੇ ਹਮਲਾਵਰ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਸਦੀ ਮਿਆਦ ਪਹਿਲਾਂ ਹੀ ਖਤਮ ਹੋ ਜਾਵੇਗੀ)।
• Сosign (ਕੰਟੇਨਰ ਸਾਈਨਿੰਗ) ਕੰਟੇਨਰਾਂ ਲਈ ਦਸਤਖਤ ਬਣਾਉਣ, ਹਸਤਾਖਰਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ OCI (ਓਪਨ ਕੰਟੇਨਰ ਇਨੀਸ਼ੀਏਟਿਵ) ਦੇ ਅਨੁਕੂਲ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਹਸਤਾਖਰਿਤ ਕੰਟੇਨਰਾਂ ਨੂੰ ਰੱਖਣ ਲਈ ਇੱਕ ਟੂਲਕਿੱਟ ਹੈ।

ਸਰੋਤ: opennet.ru