Kompania Red Hat dhe Google, s\u00eb bashku me Universitetin e Purdue, krijuan projektin Sigstore, i fokusuar n\u00eb zhvillimin e instrumenteve dhe sh\u00ebrbimeve p\u00ebr verifikimin e softuerit p\u00ebrmes n\u00ebnshkrimeve digjitale dhe mbajtjes s\u00eb nj\u00eb regjistri publik p\u00ebr t\u00eb konfirmuar autenticitetin (transparency log). Projekti do t\u00eb zhvillohet n\u00ebn mbik\u00ebqyrjen e organizat\u00ebs jo-fitimprur\u00ebse Linux Foundation. <\/p>\n
Projekti i propozuar do t\u00eb lejoj\u00eb rritjen e siguris\u00eb s\u00eb kanaleve t\u00eb shp\u00ebrndarjes s\u00eb programeve dhe mbrojtjen nga sulmet q\u00eb synojn\u00eb z\u00ebvend\u00ebsimin e komponenteve dhe var\u00ebsive t\u00eb softuerit (supply chain). Nj\u00eb nga problemet kryesore t\u00eb siguris\u00eb n\u00eb softuerin e hapur \u00ebsht\u00eb kompleksiteti i verifikimit t\u00eb burimit t\u00eb programit dhe verifikimit t\u00eb procesit t\u00eb nd\u00ebrtimit. P\u00ebr shembull, p\u00ebr t\u00eb verifikuar integritetin e nj\u00eb rrelease, shumica e projekteve p\u00ebrdorin hashes, por shpesh informacioni i nevojsh\u00ebm p\u00ebr verifikimin e autenticitetit ruhet n\u00eb sisteme t\u00eb pasigurt dhe n\u00eb repozitor\u00eb t\u00eb p\u00ebrbashk\u00ebt me kod, p\u00ebr shkak t\u00eb kompromiseve t\u00eb cilat sulmuesit mund t'i z\u00ebvend\u00ebsojn\u00eb skedar\u00ebt e nevojsh\u00ebm p\u00ebr verifikim dhe, pa shkaktuar dyshime, t\u00eb futin ndryshime t\u00eb d\u00ebmshme. <\/p>\n
Vet\u00ebm nj\u00eb pjes\u00eb e vog\u00ebl e projekteve p\u00ebrdorin n\u00ebnshkrime digjitale gjat\u00eb shp\u00ebrndarjes s\u00eb rreleaseve p\u00ebr shkak t\u00eb v\u00ebshtir\u00ebsive n\u00eb menaxhimin e \u00e7el\u00ebsave, shp\u00ebrndarjen e \u00e7el\u00ebsave publik\u00eb dhe t\u00ebrheqjen e \u00e7el\u00ebsave t\u00eb kompromentuar. P\u00ebr ta b\u00ebr\u00eb verifikimin kuptimplot\u00eb, \u00ebsht\u00eb gjithashtu e nevojshme t\u00eb organizohet nj\u00eb proces i sigurt dhe t\u00eb besuesh\u00ebm p\u00ebr shp\u00ebrndarjen e \u00e7el\u00ebsave publik\u00eb dhe kontrolleve t\u00eb shumave. Edhe n\u00eb prani t\u00eb nj\u00eb n\u00ebnshkrimi digjital, shum\u00eb p\u00ebrdorues e injorojn\u00eb verifikimin, pasi duhet t\u00eb kalojn\u00eb koh\u00eb p\u00ebr t\u00eb studiuar procesin e verifikimit dhe p\u00ebr t\u00eb kuptuar se cilin \u00e7el\u00ebs duhet t'i besojn\u00eb. <\/p>\n
Sigstore paraqet nj\u00eb alternativ\u00eb p\u00ebr Let\u2019s Encrypt p\u00ebr kodin, duke ofruar certifikata p\u00ebr autentifikimin e kodit me n\u00ebnshkrime digjitale dhe nj\u00eb set mjetesh p\u00ebr automatizimin e verifikimit. Me Sigstore, zhvilluesit do t\u00eb jen\u00eb n\u00eb gjendje t\u00eb krijojn\u00eb n\u00ebnshkrime digjitale p\u00ebr artefaktet e lidhura me aplikacionin, si skedar\u00ebt e l\u00ebshimeve, imazhet e kontejner\u00ebve, manifestet dhe skedar\u00ebt ekzekutiv\u00eb. Karakteristika e ve\u00e7ant\u00eb e Sigstore \u00ebsht\u00eb se materiali i p\u00ebrdorur p\u00ebr n\u00ebnshkrimin pasqyrohet n\u00eb nj\u00eb log publik t\u00eb mbrojtur nga modifikimet, i cili mund t\u00eb p\u00ebrdoret p\u00ebr verifikim dhe auditim. <\/p>\n
N\u00eb vend t\u00eb \u00e7el\u00ebsave t\u00eb p\u00ebrhersh\u00ebm, Sigstore p\u00ebrdor \u00e7el\u00ebsa efemer\u00eb me jet\u00ebshkurtra, t\u00eb cil\u00ebt gjenerohen n\u00eb baz\u00eb t\u00eb autorizimeve, t\u00eb v\u00ebrtetuara nga ofruesit e OpenID Connect (n\u00eb momentin e gjenerimit t\u00eb \u00e7el\u00ebsave p\u00ebr n\u00ebnshkrimin digjital, zhvilluesi identifikohet p\u00ebrmes ofruesit OpenID duke u lidhur me email). Autenticiteti i \u00e7el\u00ebsave verifikohet p\u00ebrmes nj\u00eb regjistri publik t\u00eb centralizuar, i cili lejon t\u00eb sigurohet q\u00eb autori i n\u00ebnshkrimit \u00ebsht\u00eb pik\u00ebrisht ai p\u00ebr t\u00eb cilin pretendon dhe se n\u00ebnshkrimi \u00ebsht\u00eb formuar nga e nj\u00ebjta pal\u00eb q\u00eb ka qen\u00eb p\u00ebrgjegj\u00ebse p\u00ebr l\u00ebshimet e m\u00ebparshme. <\/p>\n
Sigstore ofron si nj\u00eb sh\u00ebrbim t\u00eb gatsh\u00ebm q\u00eb tashm\u00eb mund t\u00eb p\u00ebrdoret, ashtu edhe nj\u00eb set mjetesh q\u00eb lejojn\u00eb vendosjen e sh\u00ebrbimeve t\u00eb ngjashme n\u00eb pajisjet e tyre. Sh\u00ebrbimi \u00ebsht\u00eb falas p\u00ebr t\u00eb gjith\u00eb zhvilluesit dhe ofruesit e software-it, dhe \u00ebsht\u00eb vendosur n\u00eb nj\u00eb platform\u00eb t\u00eb neutralizuar - Fondacionin Linux. T\u00eb gjith\u00eb komponent\u00ebt e sh\u00ebrbimit jan\u00eb t\u00eb hapur, t\u00eb shkruar n\u00eb gjuh\u00ebn Go dhe shp\u00ebrndahen n\u00ebn licenc\u00ebn Apache 2.0. <\/p>\n
Nga komponent\u00ebt n\u00eb zhvillim mund t\u00eb p\u00ebrmenden: <\/p>\n