Firma Google og\u0142osi\u0142a wydanie pierwszych stabilnych wersji komponent\u00f3w tworz\u0105cych projekt Sigstore, kt\u00f3ry zosta\u0142 uznany za gotowy do wdro\u017ce\u0144. Sigstore rozwija narz\u0119dzia i us\u0142ugi do weryfikacji oprogramowania z wykorzystaniem podpis\u00f3w cyfrowych oraz prowadzenia publicznego rejestru, potwierdzaj\u0105cego autentyczno\u015b\u0107 zmian (transparency log). Projekt rozwijany jest pod auspicjami non-profit Linux Foundation przez firmy Google, Red Hat, Cisco, vmWare, GitHub i HP Enterprise, przy udziale organizacji OpenSSF (Open Source Security Foundation) oraz Uniwersytetu Purdue. <\/p>\n
Sigstore mo\u017cna uzna\u0107 za odpowiednik Let’s Encrypt dla kodu, dostarczaj\u0105cy certyfikaty do po\u015bwiadcze\u0144 kodu za pomoc\u0105 podpis\u00f3w cyfrowych oraz narz\u0119dzia do automatyzacji weryfikacji. Dzi\u0119ki Sigstore programi\u015bci b\u0119d\u0105 mogli tworzy\u0107 podpisy cyfrowe dla artefakt\u00f3w zwi\u0105zanych z aplikacj\u0105, takich jak pliki z wydaniami, obrazy kontener\u00f3w, manifesty i pliki wykonywalne. Materia\u0142 u\u017cywany do podpisywania jest odzwierciedlany w zabezpieczonym przed zmianami publicznym dzienniku, kt\u00f3ry mo\u017cna wykorzysta\u0107 do weryfikacji i audytu. <\/p>\n
Zamiast sta\u0142ych kluczy, w Sigstore stosowane s\u0105 kr\u00f3tkotrwa\u0142e klucze efemeryczne, kt\u00f3re s\u0105 generowane na podstawie uprawnie\u0144 potwierdzonych przez dostawc\u00f3w OpenID Connect (w momencie generowania kluczy potrzebnych do stworzenia podpisu cyfrowego, deweloper identyfikuje siebie przez dostawc\u0119 OpenID ze skojarzeniem z jego adresem email). Autentyczno\u015b\u0107 kluczy jest weryfikowana w publicznym, scentralizowanym rejestrze, co pozwala upewni\u0107 si\u0119, \u017ce autor podpisu jest rzeczywi\u015bcie tym, za kogo si\u0119 podaje, a podpis zosta\u0142 utworzony przez tego samego uczestnika, kt\u00f3ry odpowiada\u0142 za poprzednie wydania. <\/p>\n
Gotowo\u015b\u0107 Sigstore do wdro\u017cenia wynika z wydania dw\u00f3ch kluczowych komponent\u00f3w \u2014 Rekor 1.0 i Fulcio 1.0, kt\u00f3rych interfejsy programowania zosta\u0142y og\u0142oszone stabilnymi i b\u0119d\u0105 zachowywa\u0107 zgodno\u015b\u0107 wstecz. Komponenty us\u0142ugi s\u0105 napisane w j\u0119zyku Go i dystrybuowane na licencji Apache 2.0. <\/p>\n
Komponent Rekor zawiera implementacj\u0119 dziennika do przechowywania po\u015bwiadcze\u0144 cyfrowymi podpisami metadanych, kt\u00f3ry odzwierciedla informacje o projektach. Aby zapewni\u0107 integralno\u015b\u0107 i ochron\u0119 przed zniekszta\u0142ceniem danych w czasie, stosuje si\u0119 struktur\u0119 drzewiast\u0105 \u201edrzewo Merkle\u201d (Merkle Tree), w kt\u00f3rej ka\u017cda ga\u0142\u0105\u017a weryfikuje wszystkie podleg\u0142e ga\u0142\u0119zie i w\u0119z\u0142y dzi\u0119ki wsp\u00f3lnemu (drzewiastemu) haszowaniu. Maj\u0105c ko\u0144cowy hash, u\u017cytkownik mo\u017ce upewni\u0107 si\u0119 o poprawno\u015bci ca\u0142ej historii operacji oraz o poprawno\u015bci wcze\u015bniejszych stan\u00f3w bazy danych (koronowy hash kontrolny nowego stanu bazy jest obliczany z uwzgl\u0119dnieniem poprzedniego stanu). Do weryfikacji i dodawania nowych zapis\u00f3w dost\u0119pne jest API RESTful, a tak\u017ce interfejs wiersza polece\u0144. <\/p>\n
Komponent Fulcio (SigStore WebPKI) obejmuje system do tworzenia urz\u0119d\u00f3w certyfikacji (root CA), wydaj\u0105cych kr\u00f3tko\u017cyj\u0105ce certyfikaty na podstawie e-maila, uwierzytelnianego za pomoc\u0105 OpenID Connect. Czas \u017cycia certyfikatu wynosi 20 minut, w trakcie kt\u00f3rych programista musi zd\u0105\u017cy\u0107 utworzy\u0107 podpis cyfrowy (je\u015bli certyfikat trafi w r\u0119ce osoby nieuprawnionej, b\u0119dzie ju\u017c niewa\u017cny). Dodatkowo projekt rozwija narz\u0119dzia Cosign (Container Signing), maj\u0105ce na celu tworzenie podpis\u00f3w dla kontener\u00f3w, weryfikacj\u0119 podpis\u00f3w oraz umieszczanie podpisanych kontener\u00f3w w repozytoriach zgodnych z OCI (Open Container Initiative). <\/p>\n
Wdro\u017cenie Sigstore umo\u017cliwia zwi\u0119kszenie bezpiecze\u0144stwa kana\u0142\u00f3w dystrybucji oprogramowania i zabezpieczenie przed atakami, kt\u00f3re maj\u0105 na celu podmian\u0119 bibliotek i zale\u017cno\u015bci (supply chain). Jednym z kluczowych problem\u00f3w z bezpiecze\u0144stwem w otwartym oprogramowaniu jest trudno\u015b\u0107 w weryfikacji \u017ar\u00f3d\u0142a pochodzenia programu i weryfikacji procesu budowy. Na przyk\u0142ad, aby zweryfikowa\u0107 integralno\u015b\u0107 wydania, wi\u0119kszo\u015b\u0107 projekt\u00f3w wykorzystuje hasze, ale cz\u0119sto potrzebne informacje do potwierdzenia autentyczno\u015bci s\u0105 przechowywane w niezabezpieczonych systemach i og\u00f3lnych repozytoriach z kodem, co prowadzi do sytuacji, w kt\u00f3rej atakuj\u0105cy mog\u0105 podmieni\u0107 potrzebne pliki weryfikacyjne i, nie wzbudzaj\u0105c podejrze\u0144, wprowadzi\u0107 z\u0142o\u015bliwe zmiany. <\/p>\n
Zastosowanie podpis\u00f3w cyfrowych do weryfikacji wyda\u0144 nie zyska\u0142o jeszcze powszechnej akceptacji z powodu trudno\u015bci w zarz\u0105dzaniu kluczami, ich dystrybucj\u0105 oraz uniewa\u017cnianiem skompromitowanych kluczy. Aby weryfikacja mia\u0142a sens, nale\u017cy dodatkowo zorganizowa\u0107 niezawodny i bezpieczny proces dystrybucji kluczy publicznych oraz sum kontrolnych. Nawet przy obecno\u015bci podpisu cyfrowego wielu u\u017cytkownik\u00f3w ignoruje weryfikacj\u0119, poniewa\u017c musz\u0105 po\u015bwi\u0119ci\u0107 czas na zapoznanie si\u0119 z procesem weryfikacji oraz zrozumie\u0107, kt\u00f3ry klucz zas\u0142uguje na zaufanie. Projekt Sigstore stara si\u0119 upro\u015bci\u0107 i zautomatyzowa\u0107 te procesy, oferuj\u0105c gotowe i sprawdzone rozwi\u0105zanie. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439. Sigstore \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u043b\u044f \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u0445 \u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439 \u0438 \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 (transparency log). \u041f\u0440\u043e\u0435\u043a\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u044d\u0433\u0438\u0434\u043e\u0439 \u043d\u0435\u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 Linux Foundation \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Google, Red Hat, Cisco, vmWare, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105382","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Og\u0142oszono gotowo\u015b\u0107 systemu kryptograficznej weryfikacji kodu Sigstore | ProHoster","description":"Firma Google og\u0142osi\u0142a utworzenie pierwszych stabilnych wyda\u0144 komponent\u00f3w, kt\u00f3re tworz\u0105 projekt Sigstore, kt\u00f3ry zosta\u0142 uznany za odpowiedni do budowy realnych wdro\u017ce\u0144.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043e \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0434\u0430 Sigstore | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-10-25T19:36:48+00:00","article:modified_time":"2022-10-25T19:36:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/105382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=105382"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/105382\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=105382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=105382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=105382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"