Најављен систем криптографске верификације Сигсторе

Гугл је најавио формирање првих стабилних издања компоненти које чине пројекат Сигсторе, који је проглашен погодним за креирање радних имплементација. Сигсторе развија алате и услуге за верификацију софтвера коришћењем дигиталних потписа и одржавањем јавног дневника који потврђује аутентичност промена (транспарентност дневника). Пројекат се развија под покровитељством непрофитне организације Линук Фоундатион би Гоогле, Ред Хат, Цисцо, вмВаре, ГитХуб и ХП Ентерприсе уз учешће организације ОпенССФ (Опен Соурце Сецурити Фоундатион) и Универзитета Пурдуе.

Сигсторе се може замислити као Лет'с Енцрипт фор цоде, који обезбеђује сертификате за дигитално потписивање кода и алате за аутоматизацију верификације. Са Сигсторе-ом, програмери могу дигитално потписати артефакте у вези са апликацијама као што су датотеке издања, слике контејнера, манифести и извршни фајлови. Потписни материјал се огледа у јавном дневнику заштићеном од неовлашћеног приступа који се може користити за верификацију и ревизију.

Уместо трајних кључева, Сигсторе користи краткотрајне ефемерне кључеве, који се генеришу на основу акредитива које су потврдили ОпенИД Цоннецт провајдери (у тренутку генерисања кључева неопходних за креирање дигиталног потписа, програмер се идентификује преко ОпенИД провајдера који је повезан са емаил). Аутентичност кључева се проверава коришћењем јавног централизованог дневника, који омогућава верификацију да је аутор потписа управо онај за кога тврди да је, а потпис је генерисао исти учесник који је био одговоран за прошла издања.

Сигстореова спремност за имплементацију је због формирања издања две кључне компоненте - Рекор 1.0 и Фулцио 1.0, чији су софтверски интерфејси проглашени стабилним и наставиће да буду компатибилни са претходним верзијама. Компоненте услуге су написане у Го-у и дистрибуирају се под лиценцом Апацхе 2.0.

Компонента Рекор садржи имплементацију дневника за складиштење дигитално потписаних метаподатака који одражавају информације о пројектима. Да би се осигурао интегритет и заштитили од оштећења података након чињенице, користи се структура стабла Меркле Трее, у којој свака грана верификује све основне гране и чворове путем заједничког (стабла) хеширања. Имајући коначан хеш, корисник може да провери исправност целокупне историје операција, као и тачност прошлих стања базе података (хеш за проверу корена новог стања базе података израчунава се узимајући у обзир прошло стање ). РЕСТфул АПИ је обезбеђен за верификацију и додавање нових записа, као и интерфејс командне линије.

Фулцио компонента (СигСторе ВебПКИ) укључује систем за креирање ауторитета за сертификацију (коренски ЦА) који издају краткотрајне сертификате на основу е-поште која је аутентификована преко ОпенИД Цоннецт-а. Век трајања сертификата је 20 минута, током којих програмер мора имати времена да генерише дигитални потпис (ако сертификат касније падне у руке нападача, он ће већ бити истекао). Поред тога, пројекат развија комплет алата Цосигн (Потписивање контејнера), дизајниран за генерисање потписа за контејнере, проверу потписа и смештање потписаних контејнера у репозиторије компатибилне са ОЦИ (Иницијатива за отворене контејнере).

Имплементација Сигсторе-а омогућава повећање безбедности канала за дистрибуцију програма и заштиту од напада који имају за циљ замену библиотека и зависности (ланац снабдевања). Један од кључних безбедносних проблема у софтверу отвореног кода је тешкоћа верификације извора програма и верификације процеса израде. На пример, већина пројеката користи хешове за проверу интегритета издања, али се често информације неопходне за аутентификацију чувају на незаштићеним системима и у дељеним репозиторијумима кода, услед чега нападачи могу да угрозе датотеке неопходне за верификацију и унесу злонамерне промене. не изазивајући сумњу.

Употреба дигиталних потписа за верификацију издања још увек није постала широко распрострањена због потешкоћа у управљању кључевима, дистрибуцији јавних кључева и опозивању компромитованих кључева. Да би верификација имала смисла, додатно је потребно организовати поуздан и сигуран процес дистрибуције јавних кључева и контролних сума. Чак и са дигиталним потписом, многи корисници игноришу верификацију јер морају да проведу време учећи процес верификације и разумеју који кључ је поуздан. Пројекат Сигсторе покушава да поједностави и аутоматизује ове процесе пружањем готовог и провереног решења.

Извор: опеннет.ру