Linux 基金会将推出代码签名及验证服务

近日,Linux 基金会宣布将联合红帽、Google 和普渡大学推出免费的「sigstore」服务,让开发者可以对开源软件进行代码签名和验证,以防止供应链攻击(supply-chain attacks)。

正如最近的依赖混淆攻击以及恶意拼写的 NPM 包所证明的那样,开源生态系统是供应链攻击的常见目标。

为了进行这些攻击,攻击者会创建恶意的开源软件包,并使用与知名的合法软件包相似的名称将其上传到公共仓库。如果开发人员错误地将恶意软件包包含在自己的项目中,恶意代码将在项目构建时自动执行。

为了防止这类攻击,「sigstore」也就应运而生。sigstore 将会是一个免费使用的非盈利性软件签名服务,允许开发者对开源软件进行签名并验证其真实性。

你可以把它想象成是用于代码签名的 Let's Encrypt。就像 Let's Encrypt 如何为 HTTPS 提供免费证书和自动化工具一样,sigstore 同样也提供免费证书和自动化工具,只不过是用于验证源代码的签名。

Google 在博客中解释道:“sigstore 还拥有透明度日志支持这一额外优势,这意味着所有的证书和证明都是全局可见、可发现和可审计的"。

Sigstore 是基于 OpenID Connect 所授予的公共透明日志和为代码签名分配的特殊 Root CA 短期证书所构建的。

080646_5Xx4_4937141.gif
Sigstore 演示(上图)

由于透明日志是公开的,因此开发者可以很容易地进行监控,并在发现问题时及时回滚。该项目目前处于开发的早期阶段,但项目发起人也希望有更多开发者能够参与该项目并提供及时反馈。

原文来自:[开源中国]
声明:转载此文是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请与本网联系,我们将及时更正、删除,谢谢。 邮箱地址:homedata_ltd@163.com

# 新闻  资讯 

评论

Your browser is out-of-date!

Update your browser to view this website correctly. Update my browser now

×