Этот новый криптографический протокол позволяет разработчикам создавать цепочки поставок программного обеспечения или приложений безопасности.
несколько дней назад Linux Foundation объявил через сообщение в блоге, запуск OpenPubKey, который родился благодаря Linux BastionZero и Docker Foundation.
OpenPubKey Он представлен как проект с открытым исходным кодом, кто разрабатывает криптографический протокол для подписи контейнера Docker, чтобы помочь защитить экосистему программного обеспечения с открытым исходным кодом для проверки криптографических объектов.
О OpenPubkey
В объявлении Linux Foundation упоминается, что технология была разработан как совместный проект BastionZero и Docker. с целью упростить цифровую подпись образов контейнеров Docker, чтобы предотвратить их замену и подтвердить сборку заявленным создателем.
Возможности OpenPubKey не ограничиваются образами контейнеров, поскольку технология может быть использовать для Проверить el происхождение de любой ресурс, избежать el замена зависимостей и совершенствовать la безопасность каналов распространения наборов данных. По пример, эта техника работает для подтверждать сборки, отдельные сообщения и коммиты. Он создатель от подпись только нужно иметь уна счет в обслуживание включить для OpenID и потребитель имеет возможность de проверить la подпись прикрепил y Проверить su conсоединение с заявленным идентификатором OpenID.
«Linux Foundation гордится тем, что принимает у себя проект OpenPubkey», — сказал Джим Землян, исполнительный директор Linux Foundation. «Мы считаем, что эта инициатива сыграет решающую роль в укреплении безопасности сообщества разработчиков программного обеспечения с открытым исходным кодом. «Мы призываем разработчиков и организации присоединиться к этим совместным усилиям по улучшению безопасности цепочки поставок программного обеспечения».
«Мы представили OpenPubkey как отдельный протокол, чтобы упростить и безопасно использовать цифровые подписи с OpenID Connect», — сказал Итан Хейлман, соучредитель и технический директор BastionZero.
OpenPubKey es аналогичный al система Магазин вывесок создан по Google y предварительно портированный в Фонд Linux, но se разница en что упрощать существенно реализация, использовать y el
обслуживание путем удаления централизованных серверных компонентов, отвечающих за ведение общедоступного журнала, подтверждающего подлинность изменений y безопасный el операция от власть Сертификация
OpenPubKey использует технологию аутентификации OpenID и связывает созданную подпись с существующим провайдером OpenID Connect. Другими словами, OpenPubkey позволяет привязывать ключи шифрования к конкретным пользователям, а не к центру сертификации. Технология полностью совместима с существующими поставщиками OpenID и не требует каких-либо изменений с вашей стороны, поскольку она использует стандартные токены идентификатора, предоставляемые поставщиками, что позволяет реализовать изменения OpenPubKey в OpenID Connect.
Токен, выданный провайдером OpenID, преобразуется в сертификат. который криптографически связывает идентификатор в OpenID Connect с открытым ключом пользователя. Затем пользователь использует связанный ключ для подписи любых данных и этих подписей. можно подтвердить с помощью вашего OpenID Connect ID. При этом OpenPubKey использует эфемерные ключи, срок жизни которых ограничен: ключи генерируются при входе в систему с OpenID и удаляются при завершении сеанса с провайдером OpenID.
Отмечается, что упрощение архитектуры достигается за счет определенных компромиссов, которые приемлемы в одних ситуациях, но не приемлемы в других. Для снижения зависимости от OpenID-провайдеров, обязательства или действия персонала которых могут поставить систему под угрозу, предлагается использовать дополнительный, но не обязательный, MFA-Cosigner.
Для тех, кто интересуется проектом, следует знать, что он будет разрабатываться на нейтральной платформе под эгидой Linux Foundation, что позволит исключить зависимость от отдельных коммерческих компаний и упростить сотрудничество с участием третьих лиц. Эталонная реализация OpenPubKey написана на Go и распространяется по лицензии Apache 2.0.
наконец, если вы интересно узнать о нем больше, вы можете проверить детали в по следующей ссылке.