Podpisywanie zależności i artefaktów

SBOM informuje co znajduje się w artefakcie. Proweniencja informuje skąd pochodzi i jak został zbudowany. Podpis wiąże artefakt z możliwym do zweryfikowania źródłem, dzięki czemu odbiorcy mogą odrzucić wszystko, co nie zostało wytworzone przez zaufany potok.

Bez proweniencji atakujący, który podmieni archiwum tar w rejestrze, jest nie do odróżnienia od autora legalnego wydania.

Podstawą integralności jest adresowanie treścią. Skrót kryptograficzny (digest) artefaktu jednoznacznie identyfikuje dokładny zestaw bajtów. Mutowalne tagi, takie jak latest, można przekierować; digestu nie można.

Podpis cyfrowy używa klucza prywatnego do podpisania skrótu artefaktu; każdy, kto ma odpowiadający mu klucz publiczny, może go zweryfikować. Zapewnia to dwie gwarancje:

• Integralność — artefakt nie został zmodyfikowany po podpisaniu
• Autentyczność — został podpisany przez posiadacza klucza prywatnego

Trudność nie leży w matematyce, lecz w zarządzaniu kluczami i dystrybucji zaufania: skąd weryfikator wie, któremu kluczowi publicznemu zaufać?

Tradycyjne podpisywanie zmusza zespoły do ochrony długoterminowych kluczy prywatnych, które mogą wyciec. Sigstore oferuje podpisywanie bez klucza: wydaje krótkotrwały certyfikat powiązany z tożsamością OIDC, na przykład obciążeniem CI lub adresem e-mail dewelopera, podpisuje artefakt i rejestruje zdarzenie w publicznym logu transparentności o nazwie Rekor.

Nie ma długoterminowego klucza do kradzieży, a każdy podpis podlega publicznemu audytowi.

Cosign to narzędzie Sigstore służące do podpisywania obrazów kontenerów i innych artefaktów. W trybie bez klucza korzysta z tokenu OIDC potoku, więc żaden plik klucza nie jest przechowywany na dysku.

Sigstore rejestruje każde zdarzenie podpisania w Rekor, odpornym na manipulacje, publicznym logu, do którego można wyłącznie dopisywać wpisy. To skuteczny mechanizm detekcyjny:

• Można udowodnić, kiedy coś zostało podpisane
• Atakujący, który ukradnie tożsamość, nie może podpisywać potajemnie — zdarzenie jest publicznie rejestrowane
• Anomalie w podpisach, takie jak nieoczekiwana tożsamość lub nietypowe godziny, stają się wykrywalne

Przejrzystość zamienia ciche przejęcie w możliwe do zaobserwowania dowody.

SLSA (Supply-chain Levels for Software Artifacts) to framework oceniający wiarygodność procesu budowania. Wyższe poziomy wymagają silniejszych gwarancji ochrony przed manipulacją.

• L1 — proweniencja istnieje i jest udokumentowana
• L2 — podpisana proweniencja z hostowanej usługi budowania
• L3 — wzmocnione, izolowane kompilacje; proweniencji nie można sfałszować nawet przez osobę mającą uprzywilejowany dostęp do potoku

SLSA to plan działania: należy wybrać docelowy poziom i uzupełnić braki.

Atestacja proweniencji to podpisane oświadczenie opisujące, jak zbudowano artefakt: commit źródłowy, tożsamość narzędzia budującego, parametry budowania i dane wejściowe. Format in-toto standaryzuje takie oświadczenia.

Podpisywanie jest użyteczne tylko wtedy, gdy coś odrzuca artefakty bez podpisu. W Kubernetes kontroler admission może zablokować każdy obraz, któremu brakuje prawidłowego podpisu i proweniencji powiązanej z zaufaną tożsamością.

• Kontrolery polityk weryfikują podpisy cosign przed uruchomieniem poda
• Odrzucają obrazy podpisane przez nieoczekiwane tożsamości
• Wymagają proweniencji wskazującej zatwierdzone repozytorium źródłowe

To domyka cykl: niezaufane artefakty nigdy nie zostają uruchomione.

Proweniencja jest najcenniejsza, gdy obejmuje również to, co jest używane, a nie tylko to, co jest dostarczane. Ekosystemy dodają natywne mechanizmy podpisywania i proweniencji:

• npm provenance łączy opublikowany pakiet z jego commitem źródłowym i uruchomieniem CI
• Bazowe obrazy kontenerów coraz częściej są dostarczane z podpisami cosign
• Rejestry pakietów poszczególnych języków testują weryfikację opartą na Sigstore

Należy preferować zależności publikujące możliwą do zweryfikowania proweniencję oraz weryfikować ją podczas instalacji, jeśli jest to obsługiwane.

Praktyczna strategia podpisywania jest warstwowa i podlega weryfikacji od początku do końca:

• Przypinanie danych wejściowych za pomocą digestów
• Podpisywanie artefaktów bez użycia klucza oraz dołączanie SBOM i atestacji proweniencji
• Rejestrowanie wszystkiego w logu transparentności
• Wymuszanie weryfikacji podczas wdrażania za pomocą polityki admission

Łańcuch jest tak bezpieczny, jak jego najsłabsze, niezweryfikowane ogniwo, dlatego należy weryfikować go w każdym miejscu użycia.

Poznali Państwo sposoby potwierdzania proweniencji i jej wymuszania.

• Przypinanie za pomocą digestu, a nie mutowalnych tagów
• Podpisy cyfrowe zapewniają integralność i autentyczność; wyzwaniem jest zarządzanie kluczami
• Sigstore + cosign umożliwiają podpisywanie bez klucza za pomocą publicznego logu transparentności Rekor
• SLSA ocenia integralność procesu budowania; atestate proweniencji rejestrują sposób budowania artefaktów
• Polityki admission odrzucają podczas wdrażania wszystko, co jest niepodpisane lub niezaufane

Następnie: wzmacnianie potoku CI/CD tworzącego te artefakty.