{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat e Google apresentaram o Sigstore, um servi\u00e7o para verifica\u00e7\u00e3o criptogr\u00e1fica de c\u00f3digo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

As empresas Red Hat e Google, em parceria com a Universidade de Purdue, fundaram o projeto Sigstore, que visa criar ferramentas e servi\u00e7os para a verifica\u00e7\u00e3o de software por meio de assinaturas digitais e a manuten\u00e7\u00e3o de um log p\u00fablico para a confirma\u00e7\u00e3o de autenticidade (transparency log). O projeto ser\u00e1 desenvolvido sob a \u00e9gide da organiza\u00e7\u00e3o sem fins lucrativos Linux Foundation. <\/p>\n

O projeto proposto permitir\u00e1 aumentar a seguran\u00e7a dos canais de distribui\u00e7\u00e3o de software e proteger contra ataques destinados \u00e0 substitui\u00e7\u00e3o de componentes e depend\u00eancias de software (supply chain). Uma das principais quest\u00f5es de seguran\u00e7a em software livre \u00e9 a dificuldade de verificar a fonte de aquisi\u00e7\u00e3o do software e a verifica\u00e7\u00e3o do processo de constru\u00e7\u00e3o. Por exemplo, para verificar a integridade de uma vers\u00e3o, a maioria dos projetos utiliza hashes, mas frequentemente as informa\u00e7\u00f5es necess\u00e1rias para a verifica\u00e7\u00e3o de autenticidade s\u00e3o armazenadas em sistemas n\u00e3o seguros e em reposit\u00f3rios de c\u00f3digo compartilhados, cuja comprometimento pode permitir que atacantes substituam os arquivos necess\u00e1rios para verifica\u00e7\u00e3o e, sem levantar suspeitas, implantem altera\u00e7\u00f5es maliciosas. <\/p>\n

Apenas uma pequena parte dos projetos utiliza assinaturas digitais na distribui\u00e7\u00e3o de vers\u00f5es devido \u00e0s dificuldades na gest\u00e3o de chaves, distribui\u00e7\u00e3o de chaves p\u00fablicas e revoga\u00e7\u00e3o de chaves comprometidas. Para que a verifica\u00e7\u00e3o fa\u00e7a sentido, tamb\u00e9m \u00e9 necess\u00e1rio organizar um processo confi\u00e1vel e seguro para a distribui\u00e7\u00e3o de chaves p\u00fablicas e somas de verifica\u00e7\u00e3o. Mesmo na presen\u00e7a de uma assinatura digital, muitos usu\u00e1rios ignoram a verifica\u00e7\u00e3o, pois \u00e9 necess\u00e1rio investir tempo para entender o processo de verifica\u00e7\u00e3o e determinar qual chave \u00e9 confi\u00e1vel. <\/p>\n

Sigstore \u00e9 apresentado como o equivalente ao Let’s Encrypt para c\u00f3digo, fornecendo certificados para a autentica\u00e7\u00e3o de c\u00f3digo com assinaturas digitais e um conjunto de ferramentas para automatizar a verifica\u00e7\u00e3o. Com o Sigstore, os desenvolvedores poder\u00e3o gerar assinaturas digitais para artefatos relacionados ao aplicativo, como arquivos de lan\u00e7amentos, imagens de cont\u00eaineres, manifestos e arquivos execut\u00e1veis. A caracter\u00edstica distintiva do Sigstore \u00e9 que o material assinado \u00e9 refletido em um registro p\u00fablico protegido contra altera\u00e7\u00f5es, que pode ser usado para verifica\u00e7\u00e3o e auditoria. <\/p>\n

Em vez de chaves permanentes, o Sigstore utiliza chaves ef\u00eameras de curta dura\u00e7\u00e3o, geradas com base em credenciais confirmadas por provedores OpenID Connect (no momento da gera\u00e7\u00e3o das chaves para a assinatura digital, o desenvolvedor se identifica atrav\u00e9s do provedor OpenID vinculado ao e-mail). A autenticidade das chaves \u00e9 verificada por um log p\u00fablico centralizado, que permite assegurar que o autor da assinatura \u00e9 realmente quem afirma ser e que a assinatura foi criada pelo mesmo participante que foi respons\u00e1vel por vers\u00f5es anteriores. <\/p>\n

O Sigstore fornece tanto um servi\u00e7o pronto para uso quanto um conjunto de ferramentas que permitem implantar servi\u00e7os similares em seu pr\u00f3prio hardware. O servi\u00e7o \u00e9 gratuito para todos os desenvolvedores e fornecedores de software, e est\u00e1 implantado numa plataforma neutra \u2014 a Linux Foundation. Todos os componentes do servi\u00e7o s\u00e3o de c\u00f3digo aberto, escritos na linguagem Go e distribu\u00eddos sob a licen\u00e7a Apache 2.0. <\/p>\n

Entre os componentes em desenvolvimento, podemos destacar: <\/p>\n