O GitHub apresentou uma proposta para a implementação do serviço Sigstore para verificação de pacotes por meio de assinaturas digitais e manutenção de um log público para certificar a autenticidade durante a distribuição das versões. A utilização do Sigstore permitirá implementar um nível adicional de proteção contra ataques destinados à substituição de componentes e dependências de software (supply chain). Por exemplo, a alteração proposta protegerá os códigos-fonte dos projetos em caso de comprometimento da conta do desenvolvedor de uma das dependências no NPM e a formação de uma atualização de pacote com código malicioso pelo invasor.
Graças ao novo nível de proteção, os desenvolvedores poderão vincular o pacote gerado ao código-fonte utilizado e ao ambiente de compilação, oferecendo ao usuário a possibilidade de verificar que o conteúdo do pacote corresponde ao conteúdo dos códigos-fonte no repositório principal do projeto. A aplicação do Sigstore simplifica significativamente o processo de gerenciamento de chaves e elimina as complexidades relacionadas ao registro, revogação e gestão de chaves criptográficas. O Sigstore é apresentado como uma alternativa ao Let’s Encrypt para código, oferecendo certificados para autenticar código com assinaturas digitais e ferramentas para automação da verificação.
Em vez de chaves permanentes, o Sigstore utiliza chaves efêmeras de curta duração, que são geradas com base em permissões. O material utilizado para assinatura é refletido em um log público protegido contra modificações, que garante que o autor da assinatura é realmente quem afirma ser, e que a assinatura foi gerada pelo mesmo participante responsável por versões anteriores. Para garantir a integridade e proteção contra a alteração de dados retrospectiva, é utilizada uma estrutura de árvore chamada 'árvore Merkle' (Merkle Tree), na qual cada ramo verifica todos os ramos e nós subsequentes por meio de hash compartilhado (em árvore). Com um hash final, o usuário pode confirmar a precisão de toda a história das operações, bem como a precisão dos estados anteriores do banco de dados (o hash de verificação raiz do novo estado do banco é calculado levando em consideração o estado anterior).
Fonte: opennet.ru
