Spolo\u010dnosti Red Hat a Google, v spolupr\u00e1ci s Purdue University, zalo\u017eili projekt Sigstore, zameran\u00fd na vytv\u00e1ranie n\u00e1strojov a slu\u017eieb na verifik\u00e1ciu softv\u00e9ru pomocou digit\u00e1lnych podpisov a vedenie verejn\u00e9ho z\u00e1znamu na potvrdenie autenticity (transparency log). Projekt sa bude vyv\u00edja\u0165 pod z\u00e1\u0161titou neziskovej organiz\u00e1cie Linux Foundation. <\/p>\n
Navrhovan\u00fd projekt umo\u017en\u00ed zv\u00fd\u0161i\u0165 bezpe\u010dnos\u0165 kan\u00e1lov distrib\u00facie programov a chr\u00e1ni\u0165 sa pred \u00fatokmi zameran\u00fdmi na podvod s programov\u00fdmi komponentmi a z\u00e1vislos\u0165ami (supply chain). Jedn\u00fdm z k\u013e\u00fa\u010dov\u00fdch probl\u00e9mov s bezpe\u010dnos\u0165ou v otvorenom softv\u00e9ri je zlo\u017eitosti overovania zdroja, z ktor\u00e9ho bol program z\u00edskan\u00fd, a verifik\u00e1cie procesu zostavenia. Napr\u00edklad na overenie integrity vydania v\u00e4\u010d\u0161ina projektov pou\u017e\u00edva hash, ale \u010dasto potrebn\u00e9 inform\u00e1cie na overenie autenticity s\u00fa ulo\u017een\u00e9 v nezabezpe\u010den\u00fdch syst\u00e9moch a v spolo\u010dn\u00fdch repozit\u00e1roch s k\u00f3dom, \u010do m\u00f4\u017ee \u00fato\u010dn\u00edkom umo\u017eni\u0165 pozmeni\u0165 potrebn\u00e9 s\u00fabory na overenie a nevyvola\u0165 podozrenie. <\/p>\n
Len nepatrn\u00e1 \u010das\u0165 projektov pou\u017e\u00edva digit\u00e1lne podpisy pri distrib\u00facii vydan\u00ed kv\u00f4li zlo\u017eitostiam v spr\u00e1ve k\u013e\u00fa\u010dov, distrib\u00facii otvoren\u00fdch k\u013e\u00fa\u010dov a odvol\u00e1van\u00ed kompromitovan\u00fdch k\u013e\u00fa\u010dov. Aby verifik\u00e1cia mala zmysel, je tie\u017e potrebn\u00e9 zorganizova\u0165 spo\u013eahliv\u00fd a bezpe\u010dn\u00fd proces distrib\u00facie otvoren\u00fdch k\u013e\u00fa\u010dov a kontroln\u00fdch s\u00fam. Aj pri existencii digit\u00e1lneho podpisu mnoh\u00ed pou\u017e\u00edvatelia ignoruj\u00fa overenie, preto\u017ee musia venova\u0165 \u010das \u0161t\u00fadiu procesu verifik\u00e1cie a pochopi\u0165, ktor\u00fd k\u013e\u00fa\u010d si zasl\u00fa\u017ei d\u00f4veru. <\/p>\n
Sigstore sa predstavuje ako ekvivalent Let’s Encrypt pre k\u00f3d, poskytuj\u00faci certifik\u00e1ty na overovanie k\u00f3du digit\u00e1lnymi podpismi a n\u00e1stroje na automatiz\u00e1ciu kontroly. S pomocou Sigstore bud\u00fa m\u00f4c\u0165 v\u00fdvoj\u00e1ri vytv\u00e1ra\u0165 digit\u00e1lne podpisy pre artefakty s\u00favisiace s aplik\u00e1ciou, ako s\u00fa s\u00fabory s vydaniami, kontajnerov\u00e9 obrazy, manifesty a spustite\u013en\u00e9 s\u00fabory. V\u00fdnimo\u010dnos\u0165 Sigstore spo\u010d\u00edva v tom, \u017ee materi\u00e1l pou\u017eit\u00fd na podpis sa odr\u00e1\u017ea v chr\u00e1nenom verejnom logu, ktor\u00fd sa d\u00e1 vyu\u017ei\u0165 na overovanie a audit. <\/p>\n
Namiesto st\u00e1lych k\u013e\u00fa\u010dov sa v Sigstore pou\u017e\u00edvaj\u00fa kr\u00e1tkodob\u00e9 efem\u00e9rne k\u013e\u00fa\u010de, ktor\u00e9 s\u00fa generovan\u00e9 na z\u00e1klade opr\u00e1vnen\u00ed potvrden\u00fdch poskytovate\u013emi OpenID Connect (v momente generovania k\u013e\u00fa\u010dov pre digit\u00e1lny podpis sa v\u00fdvoj\u00e1r identifikuje prostredn\u00edctvom poskytovate\u013ea OpenID s prepojen\u00edm na email). Autenticita k\u013e\u00fa\u010dov sa overuje pod\u013ea verejn\u00e9ho centralizovan\u00e9ho logu, ktor\u00fd umo\u017e\u0148uje uisti\u0165 sa, \u017ee autor podpisu je naozaj t\u00fdm, za koho sa vyd\u00e1va, a podpis bol vytvoren\u00fd t\u00fdm ist\u00fdm \u00fa\u010dastn\u00edkom, ktor\u00fd bol zodpovedn\u00fd za predch\u00e1dzaj\u00face vydania. <\/p>\n
Sigstore pon\u00faka ako hotov\u00fa slu\u017ebu, ktor\u00fa m\u00f4\u017eete ihne\u010f vyu\u017e\u00edva\u0165, tak aj s\u00fabor n\u00e1strojov, ktor\u00fd umo\u017e\u0148uje nasadi\u0165 podobn\u00e9 slu\u017eby na vlastnom zariaden\u00ed. Slu\u017eba je bezplatn\u00e1 pre v\u0161etk\u00fdch v\u00fdvoj\u00e1rov a dod\u00e1vate\u013eov softv\u00e9ru a je implementovan\u00e1 na neutr\u00e1lnej platforme \u2014 Linux Foundation. V\u0161etky komponenty slu\u017eby s\u00fa otvoren\u00e9, nap\u00edsan\u00e9 v jazyku Go a poskytovan\u00e9 pod licenciou Apache 2.0. <\/p>\n
Medzi vyv\u00edjan\u00e9 komponenty patr\u00ed: <\/p>\n