{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat i Google zaprezentowa\u0142y Sigstore, serwis do kryptograficznej weryfikacji kodu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firmy Red Hat i Google, we wsp\u00f3\u0142pracy z Uniwersytetem Purdue, za\u0142o\u017cy\u0142y projekt Sigstore, kt\u00f3rego celem jest stworzenie narz\u0119dzi i us\u0142ug do weryfikacji oprogramowania za pomoc\u0105 podpis\u00f3w cyfrowych oraz prowadzenia publicznego rejestru w celu potwierdzenia autentyczno\u015bci (transparency log). Projekt b\u0119dzie rozwijany pod egid\u0105 organizacji non-profit Linux Foundation. <\/p>\n

Proponowany projekt pozwoli zwi\u0119kszy\u0107 bezpiecze\u0144stwo kana\u0142\u00f3w dystrybucji oprogramowania oraz ochroni\u0107 przed atakami maj\u0105cymi na celu zamian\u0119 komponent\u00f3w oprogramowania oraz zale\u017cno\u015bci (supply chain). Jednym z kluczowych problem\u00f3w bezpiecze\u0144stwa w otwartym oprogramowaniu jest trudno\u015b\u0107 w weryfikacji \u017ar\u00f3d\u0142a pochodzenia programu oraz weryfikacji procesu budowy. Na przyk\u0142ad, aby sprawdzi\u0107 integralno\u015b\u0107 wydania, wi\u0119kszo\u015b\u0107 projekt\u00f3w wykorzystuje hashe, ale cz\u0119sto potrzebne do weryfikacji informacje znajduj\u0105 si\u0119 w niezabezpieczonych systemach i w publicznych repozytoriach kodu, co prowadzi do sytuacji, w kt\u00f3rej atakuj\u0105cy mog\u0105 zamieni\u0107 niezb\u0119dne pliki do weryfikacji i, nie budz\u0105c podejrze\u0144, wprowadzi\u0107 z\u0142o\u015bliwe zmiany. <\/p>\n

Jedynie niewielka cz\u0119\u015b\u0107 projekt\u00f3w korzysta z podpis\u00f3w cyfrowych przy dystrybucji wyda\u0144 z powodu trudno\u015bci w zarz\u0105dzaniu kluczami, dystrybucji kluczy publicznych i wycofywaniu skompromitowanych kluczy. Aby weryfikacja mia\u0142a sens, konieczne jest r\u00f3wnie\u017c zorganizowanie niezawodnego i bezpiecznego procesu dystrybucji kluczy publicznych i sum kontrolnych. Nawet przy obecno\u015bci podpisu cyfrowego wielu u\u017cytkownik\u00f3w ignoruje weryfikacj\u0119, poniewa\u017c musz\u0105 po\u015bwi\u0119ci\u0107 czas na zrozumienie procesu weryfikacji oraz ustalenie, kt\u00f3ry klucz zas\u0142uguje na zaufanie. <\/p>\n

Sigstore jest prezentowany jako odpowiednik Let’s Encrypt dla kodu, zapewniaj\u0105cy certyfikaty do uwierzytelniania kodu cyfrowymi podpisami oraz narz\u0119dzia do automatyzacji weryfikacji. Dzi\u0119ki Sigstore deweloperzy b\u0119d\u0105 mogli tworzy\u0107 cyfrowe podpisy dla artefakt\u00f3w zwi\u0105zanych z aplikacj\u0105, takich jak pliki wydania, obrazy kontener\u00f3w, manifesty i pliki wykonywalne. Cech\u0105 charakterystyczn\u0105 Sigstore jest to, \u017ce materia\u0142 u\u017cyty do podpisu jest odzwierciedlany w zabezpieczonym, odpornym na zmiany publicznym dzienniku, kt\u00f3ry mo\u017cna wykorzysta\u0107 do weryfikacji i audytu. <\/p>\n

Zamiast sta\u0142ych kluczy w Sigstore stosowane s\u0105 kr\u00f3tkoterminowe klucze efemeryczne, generowane na podstawie uprawnie\u0144 potwierdzonych przez dostawc\u00f3w OpenID Connect (w momencie generowania kluczy do podpisu cyfrowego, deweloper identyfikuje si\u0119 przez dostawc\u0119 OpenID z powi\u0105zanym adresem email). Autentyczno\u015b\u0107 kluczy jest weryfikowana w publicznym, centralnym dzienniku, kt\u00f3ry pozwala upewni\u0107 si\u0119, \u017ce autor podpisu jest tym, za kogo si\u0119 podaje i \u017ce podpis zosta\u0142 stworzony przez tego samego uczestnika, kt\u00f3ry odpowiada\u0142 za wcze\u015bniejsze wydania. <\/p>\n

Sigstore oferuje zar\u00f3wno gotowy serwis, z kt\u00f3rego mo\u017cna ju\u017c korzysta\u0107, jak i zestaw narz\u0119dzi umo\u017cliwiaj\u0105cych uruchomienie podobnych serwis\u00f3w na w\u0142asnym sprz\u0119cie. Serwis jest bezp\u0142atny dla wszystkich deweloper\u00f3w i dostawc\u00f3w oprogramowania i jest uruchamiany na neutralnej platformie \u2014 Linux Foundation. Wszystkie komponenty serwisu s\u0105 otwarte, napisane w j\u0119zyku Go i dystrybuowane na licencji Apache 2.0. <\/p>\n

W\u015br\u00f3d rozwijanych komponent\u00f3w mo\u017cna wyr\u00f3\u017cni\u0107: <\/p>\n