Una debolezza intrinseca del codice open source è che è difficile determinarne la provenienza e il modo in cui è stato costruito, il che significa che è soggetto ad attacchi alla catena di approvvigionamento. Google mira a risolvere questo problema, motivo per cui ha collaborato con Red Hat e Smallstep per introdurre Sigstore (“sigstore” stilizzato) nella Linux Foundation, rendendo più semplice la firma digitale e la verifica del codice sorgente.
Google descrive sigstore come “Let’s Encrypt for Code Signing”. Mentre il secondo è responsabile della fornitura di certificati e strumenti di automazione per HTTPS , il primo fa lo stesso per la firma del codice.
Inoltre, tutte le certificazioni e gli attestati di sigstore sono archiviati in registri di trasparenza supportati da Trillian e possono essere visualizzati e verificati da chiunque. Google afferma di comprendere le sfide alla base della gestione e della distribuzione delle chiavi a lungo termine, quindi emetterà certificati di breve durata basati su concessioni OpenID Connect e un’autorità di certificazione radice (CA) per lo scopo esplicito della firma del codice.
Luke Hinds, responsabile della progettazione della sicurezza di Red Hat, ha proseguito affermando che:
Sono molto entusiasta di sigstore e di cosa significhi per migliorare la sicurezza delle catene di fornitura del software. sigstore è un eccellente esempio di comunità open source che si riunisce per collaborare e sviluppare una soluzione per facilitare l’adozione della firma del software in modo trasparente.
Allo stato attuale, sigstore ha un registro di trasparenza completamente funzionante, ma WebPKI e gli strumenti di firma del client sono ancora in fase di prototipazione e non sono pronti per l’uso generale. Lo strumento è open source e gratuito per tutti gli sviluppatori. I team di sviluppo pensano che non ci siano problemi di privacy in quanto sigstore non ha bisogno di accedere a nessuna informazione personale tranne la concessione OpenID Connect che conterrà l’indirizzo email dell’utente. I piani futuri per sigstore includono l’introduzione del supporto per altri fornitori di OpenID Connect, l’aggiornamento della documentazione, il completamento dello sviluppo dell’infrastruttura di firma rimanente e il rafforzamento del sistema per l’uso generale. Puoi scoprire di più sul progetto sul sito web dedicato qui .
