NPM planerar att använda Sigstore för att bekräfta paketens äkthet.

GitHub har presenterat ett förslag för diskussion om implementeringen av Sigstore-tjänsten för verifiering av paket via digitala signaturer och upprättande av en offentlig logg för att bekräfta äktheten vid distribution av versioner. Användningen av Sigstore kommer att ge ett extra skydd mot attacker som syftar till att manipulera programkomponenter och beroenden (supply chain). Till exempel kommer den föreslagna förändringen att skydda källkoden för projekt i händelse av att en utvecklares konto för en av beroendena i NPM blir komprometterat och en angripare kan skapa en paketuppdatering med skadlig kod.

Tack vare den nya skyddsnivån kommer utvecklarna att kunna koppla det skapade paketet till den använda källkoden och byggmiljön, vilket ger användarna möjlighet att säkerställa att innehållet i paketet överensstämmer med innehållet i källkoden i projektets huvudsakliga repository. Användningen av Sigstore förenklar avsevärt hanteringen av nycklar och eliminerar svårigheterna som är kopplade till registrering, återkallelse och hantering av kryptografiska nycklar. Sigstore presenteras som en motsvarighet till Let’s Encrypt för koden, som erbjuder certifikat för att säkerställa koden med digitala signaturer och verktyg för automatisering av verifiering.

Istället för permanenta nycklar används kortlivade ephemeral nycklar i Sigstore, som genereras baserat på behörigheter. Det material som används för signering återspeglas i en skyddad offentlig logg som är immun mot ändringar, vilket gör att man kan säkerställa att signaturens avsändare verkligen är den personen som de utger sig för att vara, och att signaturen har skapats av samma deltagare som ansvarade för tidigare versioner. För att säkerställa integritet och skydd mot manipulation av data i efterhand används en trädstruktur som kallas

Källa: opennet.ru