Gittuf version 0.4 is now available, developing a hierarchical system for verifying the content of Git repositories, allowing for the minimization of risks in situations where individual developers with access to the repository are compromised. Gittuf provides an additional layer of security to Git and a set of utilities for managing the keys of all developers with access to the repository, as well as setting access rules for branches, tags, and individual files. The project is written in Go and distributed under the Apache 2.0 license. The project is in an active development phase and is at alpha release quality, suitable for experimentation but not yet ready for production deployments.
Information and artifacts providing additional verification of changes made are stored in a Git object storage in a specific namespace for gittuf, which allows retaining backward compatibility with existing tools and services, including GitHub and GitLab. When using tools that do not support gittuf, the repository remains fully accessible, but the ability for advanced integrity verification is limited. The architecture of gittuf is based on proven elements of the TUF (The Update Framework), which is used to protect the update generation processes in projects like Docker, Fuchsia, AGL (Automotive Grade Linux), and PyPI.
The verification model in gittuf is based on a hierarchical system of trust distribution. The root of trust belongs to the repository owner, who can generate keys for development participants and define the rules under which the created keys may be used. Gittuf allows for the creation of flexible, granular rules that define the powers of each developer and the area of the repository they are authorized to modify. For example, a developer may be authorized to create tags, modify specific branches, or change only individual files in the repository.
Utvecklare och de Àndringar som görs av dem identifieras genom nycklar och digitala signaturer. Gittuf möjliggör att generera nya nycklar, distribuera dem sÀkert, utföra periodisk rotation av nycklar, Äterkalla komprometterade nycklar, hantera Ätkomstlistor (ACL) och namnrymder i Git-repositorier. Gittuf upprÀtthÄller ocksÄ en referenslogg för alla Àndringar (RSL - Reference State Log), vars integritet och skydd mot retroaktiv förvrÀngning sÀkerstÀlls genom en trÀdstruktur kallad Merkle-trÀd - varje gren verifierar alla underliggande grenar och noder tack vare trÀdhashning (genom att ha en slutlig hash kan anvÀndaren bekrÀfta korrektheten i hela operationens historia samt korrektheten i tidigare tillstÄnd).
För att verifiera digitala signaturer av commits och tags skapar och distribuerar Àgaren av repositoryn offentliga nycklar som Àr direkt associerade med repositoryt. För att motverka att angripare frÀmjar Àndringar skapade efter att ha fÄtt Ätkomst till nycklar för att skapa digitala signaturer för enskilda utvecklare, tillÀmpas mekanismer för Äterkallelse och byte av nycklar. Nycklarna har en begrÀnsad livslÀngd och krÀver stÀndig uppdatering för att skydda mot signerande av gamla nycklar.
KĂ€lla: opennet.ru
