Jak się ustrzec przed cyberatakiem?

W tradycyjnych technikach podpisywania kodu stosuje się klucze kryptograficzne, np. do weryfikacji autora i integralności zawartości repozytorium oprogramowania. Obciąża to programistów koniecznością generowania kluczy i przechowywania ich w bezpiecznym miejscu. Niektórym to obciążenie może wydawać się zbyt duże. Przestają więc podpisywać swój kod (co jest szkodliwe z punktu widzenia zabezpieczeń) albo piszą mniej kodu (co nie służy innowacyjności). Oba podejścia mają konsekwencje dla innych programistów. Obecnie dużą część oprogramowania na świecie tworzy się na zasadach otwartego źródła. Oznacza to, że każdy może taki kod wykorzystać i dostosować — w tej sytuacji kluczowe znaczenie ma kwestia pochodzenia. Dotyczy to w takim samym stopniu oprogramowania komercyjnego, które coraz częściej bazuje na publicznie dostępnym kodzie źródłowym.

Otwarte źródła

A jednak to właśnie segment otwartego źródła zaczyna być liderem w tworzeniu coraz bardziej przyjaznego dla programistów środowiska podpisywania oprogramowania. Projekt ten nosi nazwę sigstore i zastępuje klucze o długim czasie życia kluczami efemerycznymi powiązanymi z istniejącymi identyfikatorami (np. adresy e-mail i loginy do mediów społecznościowych). Generuje on także publiczny, niezmienny dziennik całej aktywności. Oba te elementy w gruncie rzeczy zdejmują z programistów obowiązek podpisywania oprogramowania. Dzięki temu mogą zająć się tym, w czym są najlepsi. Co więcej, system niebazujący na kluczach, które mogą zostać skradzione lub zgubione, jest z natury bezpieczniejszy.

Projekt błyskawicznie się rozwija. Od czasu jego uruchomienia w 2019 r. do jego twórców —  firm Red Hat i Google oraz Uniwersytetu Purdue — dołączyły ...