{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat och Google har presenterat Sigstore, en tj\u00e4nst f\u00f6r kryptografisk verifiering av kod","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

F\u00f6retagen Red Hat och Google, tillsammans med Purdue University, har grundat projektet Sigstore, som syftar till att skapa verktyg och tj\u00e4nster f\u00f6r verifiering av programvara genom digitala signaturer och f\u00f6r att uppr\u00e4tta en offentlig logg f\u00f6r att bekr\u00e4fta \u00e4ktheten (transparency log). Projektet kommer att utvecklas under ledning av den ideella organisationen Linux Foundation. <\/p>\n

Det f\u00f6reslagna projektet kommer att \u00f6ka s\u00e4kerheten f\u00f6r distributionskanaler f\u00f6r program och skydda mot attacker som syftar till att manipulera programkomponenter och beroenden (supply chain). Ett av de centrala s\u00e4kerhetsproblemen i \u00f6ppen k\u00e4llkod \u00e4r sv\u00e5righeten att verifiera k\u00e4llan till programmet och att kontrollera byggprocessen. Till exempel, f\u00f6r att kontrollera integriteten hos en release anv\u00e4nder de flesta projekt hashv\u00e4rden, men ofta lagras den n\u00f6dv\u00e4ndiga informationen f\u00f6r autenticitet p\u00e5 oskyddade system och i offentliga kodf\u00f6rr\u00e5d, vilket inneb\u00e4r att angripare kan manipulera de filer som beh\u00f6vs f\u00f6r verifiering och utan att v\u00e4cka misstankar inf\u00f6ra skadliga f\u00f6r\u00e4ndringar. <\/p>\n

Endast en liten del av projekten anv\u00e4nder digitala signaturer vid distribution av releases p\u00e5 grund av sv\u00e5righeterna med hantering av nycklar, distribution av offentliga nycklar och \u00e5terkallande av komprometterade nycklar. F\u00f6r att verifieringen ska vara meningsfull kr\u00e4vs det ocks\u00e5 att man organiserar en p\u00e5litlig och s\u00e4ker process f\u00f6r distribution av offentliga nycklar och kontrollsumme. \u00c4ven med en digital signatur ignorerar m\u00e5nga anv\u00e4ndare verifieringen, eftersom det kr\u00e4vs tid f\u00f6r att s\u00e4tta sig in i verifieringsprocessen och f\u00f6rst\u00e5 vilken nyckel som \u00e4r v\u00e4rd att lita p\u00e5. <\/p>\n

Sigstore presenteras som en motsvarighet till Let's Encrypt f\u00f6r kod, som erbjuder certifikat f\u00f6r att bekr\u00e4fta kod med digitala signaturer och verktyg f\u00f6r att automatisera verifiering. Med Sigstore kan utvecklare skapa digitala signaturer f\u00f6r applikationsrelaterade artefakter, s\u00e5som release-filer, containerversioner, manifest och k\u00f6rbara filer. En s\u00e4rskild egenskap hos Sigstore \u00e4r att det material som anv\u00e4nds f\u00f6r signering avspeglas i en of\u00f6r\u00e4ndrad offentlig logg, som kan anv\u00e4ndas f\u00f6r verifiering och revision. <\/p>\n

Ist\u00e4llet f\u00f6r permanenta nycklar anv\u00e4nds kortlivade, tillf\u00e4lliga nycklar i Sigstore, som genereras baserat p\u00e5 beh\u00f6righeter bekr\u00e4ftade av OpenID Connect-leverant\u00f6rer (vid generation av nycklar f\u00f6r digital signatur identifierar utvecklaren sig via OpenID-leverant\u00f6ren kopplad till e-post). \u00c4ktheten av nycklarna kontrolleras genom en offentlig central logg, som g\u00f6r det m\u00f6jligt att s\u00e4kerst\u00e4lla att signaturens avs\u00e4ndare verkligen \u00e4r den som han utger sig f\u00f6r att vara och att signaturen har skapats av samma deltagare som var ansvarig f\u00f6r tidigare utg\u00e5vor. <\/p>\n

Sigstore erbjuder b\u00e5de en f\u00e4rdig tj\u00e4nst som kan anv\u00e4ndas direkt och ett verktyg f\u00f6r att distribuera liknande tj\u00e4nster p\u00e5 egen h\u00e5rdvara. Tj\u00e4nsten \u00e4r gratis f\u00f6r alla utvecklare och programvaruleverant\u00f6rer, och \u00e4r utplacerad p\u00e5 en neutral plattform \u2013 Linux Foundation. Alla komponenter i tj\u00e4nsten \u00e4r \u00f6ppna, skrivna i Go och distribueras under Apache 2.0-licensen. <\/p>\n

Bland de utvecklade komponenterna kan n\u00e4mnas: <\/p>\n