{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Projekt gittuf rozwija system kryptograficznej ochrony repozytori\u00f3w Git","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dost\u0119pna jest wersja projektu gittuf 0.4, rozwijaj\u0105ca hierarchiczny system weryfikacji zawarto\u015bci repozytori\u00f3w Git, umo\u017cliwiaj\u0105ca minimalizacj\u0119 ryzyk w sytuacji kompromitacji poszczeg\u00f3lnych programist\u00f3w maj\u0105cych dost\u0119p do repozytorium. Gittuf zapewnia dodatkow\u0105 warstw\u0119 bezpiecze\u0144stwa dla Git oraz zestaw narz\u0119dzi do zarz\u0105dzania kluczami wszystkich programist\u00f3w maj\u0105cych dost\u0119p do repozytorium i definiowania zasad dost\u0119pu do ga\u0142\u0119zi, tag\u00f3w oraz poszczeg\u00f3lnych plik\u00f3w. Kod projektu jest napisany w j\u0119zyku Go i dystrybuowany na licencji Apache 2.0. Projekt jest w fazie aktywnego rozwoju i ma jako\u015b\u0107 wersji alfa, odpowiedniej do eksperyment\u00f3w, ale jeszcze niegotowej do wdro\u017ce\u0144 produkcyjnych. <\/p>\n
Informacje oraz artefakty zapewniaj\u0105ce dodatkow\u0105 weryfikacj\u0119 wprowadzanych zmian s\u0105 przechowywane w magazynie obiekt\u00f3w Git w oddzielnej, specyficznej dla gittuf przestrzeni nazw, co pozwala zachowa\u0107 zgodno\u015b\u0107 wsteczn\u0105 z istniej\u0105cymi narz\u0119dziami i us\u0142ugami, w tym GitHub i GitLab. Przy u\u017cywaniu narz\u0119dzi bez wsparcia gittuf, repozytorium pozostaje ca\u0142kowicie dost\u0119pne, jednak mo\u017cliwo\u015b\u0107 rozszerzonej weryfikacji jego integralno\u015bci jest ograniczona. Architektura gittuf opiera si\u0119 na sprawdzonych elementach frameworka TUF (The Update Framework), stosowanego do ochrony proces\u00f3w tworzenia aktualizacji w takich projektach, jak Docker, Fuchsia, AGL (Automotive Grade Linux) oraz PyPI. <\/p>\n
Model weryfikacji w gittuf oparty jest na zastosowaniu hierarchicznego systemu rozdzielania zaufania. Korze\u0144 zaufania (root of trust) nale\u017cy do w\u0142a\u015bciciela repozytorium, kt\u00f3ry mo\u017ce generowa\u0107 klucze dla uczestnik\u00f3w rozwoju i okre\u015bla\u0107 zasady, wed\u0142ug kt\u00f3rych utworzone klucze mog\u0105 by\u0107 stosowane. Gittuf umo\u017cliwia tworzenie elastycznych, granulowanych zasad definiuj\u0105cych uprawnienia ka\u017cdego programisty oraz obszar repozytorium, w kt\u00f3rym ma on mo\u017cliwo\u015b\u0107 wprowadzania zmian. Na przyk\u0142ad, programista mo\u017ce by\u0107 upowa\u017cniony do tworzenia tag\u00f3w, wprowadzania zmian w okre\u015blonych ga\u0142\u0119ziach lub zmiany tylko poszczeg\u00f3lnych plik\u00f3w w repozytorium. <\/p>\n
Programi\u015bci oraz wprowadzane przez nich zmiany s\u0105 identyfikowane za pomoc\u0105 kluczy i podpis\u00f3w cyfrowych. Gittuf umo\u017cliwia generowanie nowych kluczy, bezpieczne rozpowszechnianie kluczy, okresow\u0105 rotacj\u0119 kluczy, odwo\u0142ywanie skompromitowanych kluczy, zarz\u0105dzanie listami dost\u0119pu (ACL) oraz przestrzeniami nazw w repozytoriach Git. Gittuf prowadzi r\u00f3wnie\u017c wzorcowy dziennik wszystkich zmian (RSL \u2014 Reference State Log), kt\u00f3rego integralno\u015b\u0107 oraz ochrona przed modyfikacjami wstecznymi s\u0105 zapewnione dzi\u0119ki strukturze drzewiastej \u201edrzewo Merkle\u201d (Merkle Tree) \u2014 ka\u017cda ga\u0142\u0105\u017a weryfikuje wszystkie podrz\u0119dne ga\u0142\u0119zie i w\u0119z\u0142y dzi\u0119ki drzewiaszemu haszowaniu (maj\u0105c ko\u0144cowy hasz, u\u017cytkownik mo\u017ce upewni\u0107 si\u0119 o poprawno\u015bci ca\u0142ej historii operacji oraz poprawno\u015bci wcze\u015bniejszych stan\u00f3w). <\/p>\n
Aby zweryfikowa\u0107 podpisy cyfrowe komitet\u00f3w i tag\u00f3w, w\u0142a\u015bciciel repozytorium formuje i rozpowszechnia klucze publiczne, kt\u00f3re s\u0105 bezpo\u015brednio zwi\u0105zane z repozytorium. Aby przeciwdzia\u0142a\u0107 wprowadzaniu z\u0142o\u015bliwych zmian wykonanych po uzyskaniu dost\u0119pu do kluczy do tworzenia podpis\u00f3w cyfrowych poszczeg\u00f3lnych deweloper\u00f3w, stosowane s\u0105 mechanizmy odwo\u0142ywania i wymiany kluczy. Klucze maj\u0105 ograniczony czas \u017cycia i wymagaj\u0105 ci\u0105g\u0142ej aktualizacji w celu ochrony przed generowaniem podpisu starymi kluczami. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"