{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"O projeto gittuf desenvolve um sistema de prote\u00e7\u00e3o criptogr\u00e1fica para reposit\u00f3rios Git","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A vers\u00e3o 0.4 do projeto gittuf est\u00e1 dispon\u00edvel, desenvolvendo um sistema hier\u00e1rquico de verifica\u00e7\u00e3o do conte\u00fado dos reposit\u00f3rios Git, que minimiza os riscos em situa\u00e7\u00f5es de comprometimento de desenvolvedores individuais com acesso ao reposit\u00f3rio. O gittuf oferece uma camada adicional de seguran\u00e7a ao Git e um conjunto de utilit\u00e1rios para gerenciar as chaves de todos os desenvolvedores que t\u00eam acesso ao reposit\u00f3rio e para definir regras de acesso a branches, tags e arquivos espec\u00edficos. O c\u00f3digo do projeto \u00e9 escrito em Go e \u00e9 distribu\u00eddo sob a licen\u00e7a Apache 2.0. O projeto est\u00e1 em fase de desenvolvimento ativo e possui qualidade de pr\u00e9-lan\u00e7amento, adequado para experimentos, mas ainda n\u00e3o pronto para implementa\u00e7\u00f5es em produ\u00e7\u00e3o. <\/p>\n
Informa\u00e7\u00f5es e artefatos que garantem uma verifica\u00e7\u00e3o adicional das altera\u00e7\u00f5es realizadas s\u00e3o armazenados no reposit\u00f3rio de objetos Git em um espa\u00e7o de nomes espec\u00edfico do gittuf, o que permite manter a compatibilidade com as ferramentas e servi\u00e7os existentes, incluindo GitHub e GitLab. Ao usar ferramentas que n\u00e3o suportam gittuf, o reposit\u00f3rio permanece totalmente acess\u00edvel, mas \u00e9 limitada a capacidade de verifica\u00e7\u00e3o avan\u00e7ada de sua integridade. A arquitetura do gittuf \u00e9 baseada em elementos comprovados do framework TUF (The Update Framework), que \u00e9 utilizado para proteger os processos de forma\u00e7\u00e3o de atualiza\u00e7\u00f5es em projetos como Docker, Fuchsia, AGL (Automotive Grade Linux) e PyPI. <\/p>\n
O modelo de verifica\u00e7\u00e3o no gittuf \u00e9 baseado na aplica\u00e7\u00e3o de um sistema hier\u00e1rquico de distribui\u00e7\u00e3o de confian\u00e7a. A raiz da confian\u00e7a pertence ao propriet\u00e1rio do reposit\u00f3rio, que pode gerar chaves para os participantes do desenvolvimento e definir regras de acordo com as quais as chaves geradas podem ser aplicadas. O gittuf permite criar regras granulares flex\u00edveis que definem os poderes de cada desenvolvedor e a \u00e1rea do reposit\u00f3rio onde ele tem permiss\u00e3o para fazer altera\u00e7\u00f5es. Por exemplo, um desenvolvedor pode ser autorizado a criar tags, fazer altera\u00e7\u00f5es em branches espec\u00edficas ou alterar apenas arquivos individuais no reposit\u00f3rio. <\/p>\n
Os desenvolvedores e as mudan\u00e7as que realizam s\u00e3o identificados por chaves e assinaturas digitais. O Gittuf permite gerar novas chaves, distribuir chaves de forma segura, realizar a rota\u00e7\u00e3o peri\u00f3dica de chaves, revogar chaves comprometidas, gerenciar listas de acesso (ACL) e namespaces em reposit\u00f3rios Git. O Gittuf tamb\u00e9m mant\u00e9m um log de refer\u00eancia (RSL \u2014 Reference State Log) de todas as altera\u00e7\u00f5es, cuja integridade e prote\u00e7\u00e3o contra altera\u00e7\u00f5es retroativas s\u00e3o asseguradas por meio de uma estrutura de \u00e1rvore chamada '\u00e1rvore de Merkle' (Merkle Tree) \u2014 cada ramo verifica todos os ramos e n\u00f3s subsequentes gra\u00e7as \u00e0 hashing em \u00e1rvore (tendo um hash final, o usu\u00e1rio pode confirmar a validade de todo o hist\u00f3rico de opera\u00e7\u00f5es, bem como a corre\u00e7\u00e3o dos estados passados). <\/p>\n
Para verificar assinaturas digitais de commits e tags, o propriet\u00e1rio do reposit\u00f3rio cria e distribui chaves p\u00fablicas, que est\u00e3o diretamente associadas ao reposit\u00f3rio. Para combater a promo\u00e7\u00e3o de altera\u00e7\u00f5es por invasores, feitas ap\u00f3s o acesso \u00e0s chaves para formar assinaturas digitais de desenvolvedores individuais, s\u00e3o aplicados mecanismos de revoga\u00e7\u00e3o e substitui\u00e7\u00e3o de chaves. As chaves t\u00eam um tempo de vida limitado e exigem atualiza\u00e7\u00e3o constante para evitar a forma\u00e7\u00e3o de assinatura com chaves antigas. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"