Компании Red Hat и Google, совместно с Университетом Пердью, основали проект Sigstore, нацеленный на создание инструментов и сервисов для верификации программного обеспечения при помощи цифровых подписей и ведения публичного лога для подтверждения подлинности (transparency log). Проект будет развиваться под эгидой некоммерческой организации Linux Foundation...Подробнее: https://www.opennet.ru/opennews/art.shtml?num=54731
в том же Git можно подписывать коммит - этого недостаточно?
А артефакты чем будешь подписывать?
для них хватит и хеша
Хэш для проверки целостности файла, а не для проверки его подлинности. Цитируя новость, «часто необходимая для проверки подлинности информация хранится на незащищенных системах».
> на незащищенных системахНезащищённых - как?
да никак (по мнению Google)
Странное это всё.
Апщемто те же дистры Ubuntu и другого софта, 100лет в обед, как делают поставляют 2х этапную сверку:1) На одном сервере: софт, хэш-чексумма от софта в виде
textplain файла, и pgp(!) подпись этого checksum файла2) Чтобы проверить checksum и аутентичность подписи, надо отдельно скачать публичный сертификат этого автора через любой Keystore server (можно альтернативный)
Как минимум цепочка доверия строится из 2х независимых источников.
3) По хорошему, это public cert, должен быть тоже не самоизданным CA, а выданным кем то из известных предустановленных Root CA
Тогда, даже полная компрометация трафика, и всех шифрованных туннелей и https, не сможет без доступа к машине (или приватникам авторских pgp) изобразить подмену всей цепочки доверия (разве что подклеить код так, чтобы через коллизию sha256 исполнить тот же хэш... а если sha512,1024... это уже цена атаки нереального уровня, иначе бы вся крипта давно б была взломана в лоб.
А еще добрая 99% масса не умеет в правильную настройку Secure Boot, по-прежнему считая, что это что-то плохое от MS... хотя от MS там только опционально удаляемые сертификаты (если это не какой-то вендорлокнутый ms surface плонш), и наследный формат исполняемых файлов EFI, как бы и всё на этом.А то, что многие корпораты оставили свой след в индустрии и стандартах: от DARPA, подарившей Интернет, до IBM - PC-архитектуру, AT&T - Unix, и мн.др. = это никого не смущает.
Качаешь ты файлец через http. А сверяешь его по хэшу, который получил опять-таки через http. Достаточно вклиниться в трафик, чтобы подменить и файл, и хэш.Качаешь ты файлец через https. А сверяешь его по хэшу, который получил опять-таки через https. Достаточно ломануть вордпресс-сайтик, чтобы подменить и файл, и хэш.
Качаешь ты релизный бинарник из гитхаба. А сверяешь его по хэшу, который лежит прямо там на гитхабе в описании к релизу. Достаточно ломануть гитхаб автора, чтобы подменить и файл, и хэш.
> Достаточно вклиниться/ломанутьтак то против лома нет приема
Ага. Переводя на язык предыдущего оратора:Качаешь ты файлец через https. А сверяешь его по сертификату, который получил опять-таки через https. Достаточно ломануть вордпресс-сайтик, чтобы подменить и файл, и сертификат.
Ну, ок, сертификат, возможно, на другом сайте.
>Ну, ок, сертификат, возможно, на другом сайте.Ссылку на который ты получаешь с того же вордпресс-сайтика.
Ну, ок, URL для верификации ты можешь где-нибудь погуглить для проверки. Но Кто сказал, что self-hosted Sigstore взломать невозможно? Если self-hosted можно, почему гугловый\красношапковый нельзя?
Очередная инициатива по завязыванию всего на себе от корпораций.
>Очередная инициатива по завязыванию всего на себе от корпораций.+100500
Первая мысль была
А к CA ты по чем будешь ходить, случайно не через TLS?И почему доверие к левому центру у меня должно быть больше, чем автору релиза.
А что редхат нового предлагает? Теперь вместо одного сайта нужно ломануть два? Ну так я на в pastebin/другом git хостере размещу хэш. То же самое. Let's encrypt то проверяет принадлежность домена, а как редхат будет проверять принадлежность софта? Я соберу свой nginx с вредоносом. Назову его "nginx.", размещу на этом сервере и буду втирать что это настоящий nginx/с патчами для васянского дистрибутива (Ubuntu например).
Напиши авторам что ты их взломал.
А хэш подписан gpg подписью, ключём лица с которым ты встречался лично, или через через цепочку доверия. Потому что просто хэш недостаточно, и потому же можно безопасно размещать хэш на том же сайте, что и артефакт.
Как отозвать ключ. Например.
Как применить к бинарным артефактам.В принципе, в принципе GPG есть, но нужна инфраструктура.
Но, опять же, это не должно быть столь сложно, как создание хорошо работающего реквеста на серт, например. А то, что в широком обиходе - сложно и запутано. Множество параметров, учитывающих абсолютно универсальные возможности - очень всё это непригодно для использования как есть.
> В принципе, в принципе GPG есть, но нужна инфраструктура.Нет, не нужна. Вместо тупых рюшечек, если на то пошло, жабаскрипт должен был заниматься например шифрованием трафика, ты хоть раз слышал об этом от копрораций ? Нет ? А об централизовации всего и вся хранения на их серверах ? Каждую новость ?
> в том же Git можно подписывать коммит - этого недостаточно?Совершенно. По моему опыты работы с gentoo, большая часть работы мейнтенейра - это написание патчей. И эти патчи ни в какие git не попадают.
Патчи же должны быть в git гентушной системы портов, или как у них там это называется.
Две мои любимые корпорации снова принесли пользу обществу.
в свете недавних событий я не удивлён, что шляпа и гугль теперь за пани брата
В свете избирательно подобранных событий, ...
> за пани братаДолго думал. Так и не смог понять, юмор это или неграмотность.
Современность.
Отстраненность. Неопределенность. Безответственность.
> Две мои любимые корпорации снова нанесли пользу и причинили добро обществу.Не благодари.
А я его плюсанул
Решил, что сарказм
Опять в какую-то Пердь ехать за сертификатом?)А вообще, штука полезная может получиться.
> А вообще, штука полезная может получиться.на самом деле нет
> штука полезная может получиться.От копрораций ? Полезного ? Это сарказм ?
>А вообще, штука полезная может получиться.Вместо серьёзной цифровой подписи, которая лежит в сейфе, они предлагают слабые подписи, которые заверены через гугло-почту. Хотя если под "может получиться" ты имеешь ввиду захват гуглом контроля над всеми OpenSource проектами, то действительно может получиться.
Ждем когда llvm будет отказываться компилировать неподписанный код.
компилятору для выполнения своих прямых обязанностей нужна будет сеть, ха
Растаманы именно это и пропихивают.
В Deno это уже из коробки
А ещё llvm будет отказываться компилировать при обнаружении неинклюзивных имён в исходном коде.
Гуглошляпа выберет достойных компиляции
Ко всеобщему благу
да пускай что хочет делает, нафиг он нужен?
Разработали ещё один метод гашения неугодных? Щёлк - и твоя система невалидная.
У редхата до сих пор нет воспроизводимых сборок. Подписанный бинарник помогает убедиться, что бинарник собран редхатом, но не гарантирует, что он был собран из конкретных исходников без модификаций. Для этого нужен воспроизводимый процесс сборки: чтобы любой мог дома его повторить и получить байт-в-байт идентичный бинарник.Воспроизводимостью [1] давно озаботился Дебиан, подключились SUSE, Arch, FreeBSD, OpenBSD, NixOS, GNU Guix... Последние вообще пилят 100% воспроизводимую систему бутстраппинга, позволяющую собрать компилятор и всю систему с нуля, вообще не используя бинарных артефактов [2]. Космос просто. А редхат играет в security theater и на воспроизводимые сборки кашлять хотел.
Может они пока еще не нашли пакетов этой самой воспроизводимой сборки от грегориана?
Воспроизводимых сборки это очень простая технология. Красная шляпа если бы захотела то выложила воспроизводимых сборки.Но вот незадача, их бизнес основан на продаже бинарей! А если будет технология воспроизводимых сборок Красную шляпу будут пересобииать из исходников, бит в бит идентичны продаваемой.
По этому красная шляпа воспроизводимых сборок иметь не будет.
Бизнес редхата основан на суппорте и консалтинге. Исходники к почти всему ты можешь скачать без проблем.
> давно озаботился Дебиан"Озаботился" != "имеет воспроизводимую сборку". Если тебе важно, что кто-то чем-то там "озаботился", то пожалуйста: Red Hat "озабочен" твоими воспроизводимыми сборками настолько же, насколько "озабочен" дебьян:
> Who is involved?
> Fedorahttps://reproducible-builds.org/projects/
А теперь касательно дебьяна, который "озаботился":
> Reproducible builds of Debian as a whole is still not a reality, though individual reproducible builds of packages are possible and being done. So while we are making very good progress, it is a stretch to say that Debian is reproducible.
https://wiki.debian.org/ReproducibleBuilds
В экзотических дистрах типа гуикса над воспроизводимостью думали еще до реализации, поэтому она там присутствует изначально. Ну а в зрелых дистрах типа RHEL/Fedora/дебьян нужно правильно вписаться в уже имеющийся инструментарий и инфраструктуру.
У дебиана сейчас воспроизводится примерно 95% пакетов:https://tests.reproducible-builds.org/debian/reproducible.html
У редхата примерно 0%:
федора еще чем-то озабочена? У них там информация по сборкам за 16 год, репозиторий законсервирован>А теперь касательно дебьяна, который "озаботился":
>> Reproducible builds of Debian as a whole is still not a reality, though individual reproducible builds of packages are possible and being done. So while we are making very good progress, it is a stretch to say that Debian is reproducible.reproducible packages: 95.5% (bullseye/amd64)
уж лучше так, чем как федора
> У редхата до сих пор нет воспроизводимых сборок.Не совсем понимаю их смысл. На какой-то стадии Шляпы наканпеляли бинарей. Собрали из них релиз и выложили на офиц.сайте + зеркала. Всегда можно проверить, что образ соотв. оригиналу. Это всё, что нужно сделать обычному юзеру Шляподистра.
К тому же, если кто-то возьмётся канпелять сам, очевидно, что имеет смысл делать это с учётом всех возможностей локального ПК (набор команд, нужные модули и т.п.). Соотв. бинарь получится вообще другой, зато быстрый и компактный. Так зачем бинари воспроизводить??
Чтобы не было как в SolarWinds: https://reproducible-builds.org/reports/2020-12/
> и ведения публичного лога для подтверждения подлинности (transparency log).На моём дворе уже 21 год, 21 века. Сука, какие то дебилы зачем то придумали блок-чей. Но его никто не юзает для отслеживания публичной истории. Вообщем программисты толи слепые, толи без рук.
> Например, для проверки целостности релиза большинство проектов используют хэши,
> безопасный процесс распространения открытых ключей и контрольных сумм.Контрльная сумма о какому алгоритму хэширования будет считаться? по ненадежному и публично публикуемому.
Вода в ступе. Но нужная.
> На моём дворе уже 21 годуже 22
p.s. мискузи, наркомана включил (:
И как там? Пандемию победили?
Возможно, да, на выборах )
Пандемию - да, но хитрый Билгеец ещё в 21-ом предупредил, что "у нас есть новый вирус, куда страшнее". Так что не расслабляем булки!
>> и ведения публичного лога для подтверждения подлинности (transparency log).
> На моём дворе уже 21 год, 21 века. Сука, какие то дебилы зачем то придумали блок-чей. Но его никто не юзает для отслеживания публичной истории.Блокчейн — ненужное (в данном случае) усложнение той же самой идеи, которое добавляет только распределённость и дикие тормоза.
> Контрльная сумма о какому алгоритму хэширования будет считаться? по ненадежному и публично публикуемому.
А, ещё один адепт security by obscurity. Понятно.
> программисты толи слепые, толи без рукПрограммисты, если это программисты, а не ушибленные рекламными вебинарами пожиратели фруктовой мякоти, прекрасно отдают себе отчёт, насколько зыбка и эфемерна вся вот эта вот "защита" на основе хз кем, хз как, хз где и хз когда сгенерированного открытого ключа.
transparency log с помощью гугла и красношапки это хохма
Взломать за 20 минут
> Вместо постоянных ключей в Sigstore применяются короткоживущие эфемерные ключи, которые генерируются на основе полномочий, подтверждённых провайдерами OpenID Connect (на момент генерации ключей для цифровой подписи разработчик идентифицирует себя через провайдера OpenID с привязкой к email).
> выдающих короткоживущие сертификаты на основе email, аутентифицированного через OpenID Connect.Призываю сообщество игнорировать данную технологию, как способствующюю распространению неавтентичного, подмененного корпорациями и прочими кода.
Для подписи кода надо использовать свой ключ PGP, RSA4096 или больше.
Хранить секретные ключи только в онлайне с аппаратной защитой от копирования типа https://nitrokey.com
Подписывая чужой публичный ключ необходимо: сверить фотографию в паспорте, побуквенно сверить ФИО в паспорте с указанными в UID публичного ключа, при вас человек должен подтвердить что владеет указанным в UID E-mail.
Подписанные публичные ключи загружайте на публичные сервера PGP.
По остальным вопросам: https://www.opennet.ru/docs/RUS/gph/index.html
Хранить секретные ключи только в офлайне!!
..и обмениваться на дискетках или QR-кодах на лист А4! :)
Лучше лист A4, но с сертификацией паспорта и почты!
s/сертификацией/верификацией/ - вражеский спелчекер
Не рекомендую. Бумажные QR коды быстро приходят в негодность до нечитаемого состояния.
Всё это забавно, но как правильно гласит новость:> ...из-за сложностей в управлении ключами, распространении открытых ключей и отзыва скомпрометированных ключей.
Людям нужны удобные инструменты, а не командлайновые перделки с тысячей опций. Общие стандарты не помешали бы - одних только форматов ключей аж 3 штуки и это только которые я знаю!
Похабно-наплевательское отношение к юзерам (со стороны кр@сн0глазых мамкиных кульхацкеров) приводит к тому, что никто даже не пытается пользоваться чем-то из мира Линукса (и правильно делают).
Это не юзерам нужны перделки апологетов секты Линуса, а линукс0идам нужны юзеры, которых надо привлекать нормальными программами с хорошей функциональностью и юзабилити, а не вот это вот всё устарелое гогно.
То, что нужнен другой баланс между универсальностью и простотой - да, но вот насчёт "линукс0идам нужны юзеры" - это с чего бы? Да пусть лесом идут. Хороший софт пишется для себя, а что для всех выложили - так это чисто по доброте душевной, ну и ради получения обратной связи по багам и, возможно, некоторой помощи.
>Всё это забавно, но как правильно гласит новость:
> > ...из-за сложностей в управлении ключами, распространении открытых ключей и отзыва скомпрометированных ключейЕсть ложность хранения закрытых ключей и безопасной процедуры подписывания.
В остальном решаемо при желании.
s/ложность/сложность
s|$|/|
А зачем линуксоидам юзеры, если они всё равно не платят?Да, собственно, даже заплатить за линукс для пользователя -- проблема. Шляпа десктоп -- 350 долларов в год. Я бы даже купил, это не так дорого, но в это ни хрена не входит, даже создание тикетов у них в багтрекере.
А когда я начал искать, кто продаёт саппорт для Слаки -- из всех, кто с 90х у Патрика зарегистрирован, остался работать один товарищ, и тот продаёт админство, а не разработку.
>Людям нужны удобные инструменты, а не командлайновые перделки с тысячей опцийЛюдям удобно к своим банковским картам доступ получать через SMS и CVC коды, но безопасности тут близка к нулю. Удобство враг безопасности. Безопасно хранить секретные ключи на отключенном от любых сетей компьютере лежащем в сейфе с механическим кодовым замком и защитой уничтожающей информацию в случае попытки взлома. Удобно ли это? Совершенно точно нет!
У кого-то явно от взлома FartWinds подгорело. Прям полыхнуло. Испепелило. Подорвало. Бомбануло. Разнесло.
Нет, они хотят затормозить внедрение PGP.
Как можно затормозить то что не движется?
30 лет внедряли, успех был близок как никогда, но пришли корпорации бобра и осла и затормозили.
Вообще-то они постоянно саботируют, а не вот пришли.
Попахивает эппловской нотаризацией и майкрософтовским смартскрином.
RedHat.Google_NIH.und.EEE_feat.LinuxFndtn_BDSM.XXX.mkv.torrent
.exe
какая то бюрократия получается, хочешь поставить ядро - сходи за подписью к Майкрософт, захочешь поставить пакет на поклон к Шляпе или Гуглу =)
на покупку компьютера у кого взять автограф ? =D
запилили бы лучше сервис формальной верификации кода.
Запилили бы умение программировать для некоторых чтоб не писали на всякой хне типа рустоговнястопетонясто и пользовтель сам разберется.
Безумный мир
>используемый для подписи материал отражается в защищённом от внесения изменений публичном логе, который можно использовать для проверки и аудита.В блокчеине биткоина что-ли?
> и ведения публичного лога для подтверждения подлинности (transparency log).На моём дворе уже 21 год, 21 века. Сука, какие то дебилы зачем то придумали блок-чей. Но его никто не юзает для отслеживания публичной истории. Вообщем программисты толи слепые, толи без рук.
> Например, для проверки целостности релиза большинство проектов используют хэши,
> безопасный процесс распространения открытых ключей и контрольных сумм.Контрльная сумма о какому алгоритму хэширования будет считаться? по ненадежному и публично публикуемому.
Вода в ступе. Но нужная.
А что, вот прям всем удостоверяющим центрам можно доверять?