Segui ZDNET: Aggiungici come fonte preferita su Google.
I principali punti salienti di ZDNET
- Il kernel Linux si sta muovendo verso un modo migliore per identificare gli sviluppatori e il loro codice.
- Questo nuovo approccio può essere utilizzato da altri progetti open supply.
- Non è ancora stato implementato, ma mi aspetto che venga implementato entro il prossimo anno.
NAPA, California — Nelle parole immortali dello sviluppatore di canzoni Pete Townshend, “Bene, chi sei? (Chi sei? Chi, chi, chi, chi?) Voglio davvero saperlo!” I manutentori del kernel Linux hanno la stessa domanda: chi sono i loro programmatori e come può la comunità del kernel essere sicura che il codice che inviano sia davvero il loro?
Per decenni, gli sviluppatori del kernel Linux hanno utilizzato Privacy abbastanza buona (PGP) per identificare gli sviluppatori e i loro artefatti di rilascio. L’integrazione PGP di Git ha abilitato i tag firmati per verificare l’integrità del repository di codice e impegni firmati per impedire agli hacker di impersonare sviluppatori legittimi.
Inoltre: l’ultima versione del kernel Linux chiude l’period 6.x ed è un regalo per gli amministratori del cloud
Nel 2011, gli hacker sono riusciti a violare il principale sito di sviluppo di Linux, kernel.org. Successivamente, per assicurarsi che ciò non accadesse di nuovo, la rete di fiducia PGP del kernel è stata esplicitamente “avviata” durante una sessione di firma delle chiavi faccia a faccia durante il Kernel Summit del 2011.
Più recentemente, l’utilità xz è stata compromessa da uno sviluppatore dannoso, portando quasi malware a infettare Linux.
Un processo doloroso
Oggi, i manutentori del kernel che desiderano un account kernel.org devono trovare qualcuno già presente nella rete di fiducia di PGP, incontrarlo faccia a faccia, mostrare un documento d’identità governativo e farsi firmare la chiave. Il processo è come una caccia al tesoro globale e manuale. Il manutentore del kernel Linux Greg Kroah-Hartman, parlando al Summit dei membri della Linux Basis, lo ha descritto come “una seccatura da fare e da gestire”. Questo perché viene tracciato da script manuali, le chiavi diventano out of date e la mappa pubblica “chi vive dove” crea rischi per la privateness e di ingegneria sociale.
Pertanto, i manutentori del kernel stanno lavorando per sostituire questa fragile rete di fiducia della firma delle chiavi PGP con un livello di identità decentralizzato che preservi la privateness e che possa garantire sia per gli sviluppatori che per il codice che firmano.
Inoltre: questa backdoor ha quasi infettato Linux ovunque: il tentativo di XZ Utils è stato ravvicinato
Il loro nuovo approccio, che chiamerò Linux ID, è stato presentato questa settimana da Trust decentralizzato della Linux Foundation i chief Daniela Barbosa e Hart Montgomery, insieme al accomplice Glenn Gore, CEO di Affinidiuna società fiduciaria digitale a typical aperto. Linux ID ha lo scopo di offrire alla comunità del kernel un modo più flessibile per dimostrare chi sono le persone e chi non sono, senza ricorrere a fragili get together di firma delle chiavi o videochiamate advert hoc.
Al centro di Linux ID c’è un insieme di “show di personalità” crittografiche costruite sui moderni commonplace di identità digitale piuttosto che sulla tradizionale firma delle chiavi PGP. Invece di una singola rete monolitica di fiducia, il sistema emette e scambia credenziali personali e credenziali verificabili che asseriscono cose come “questa persona è un individuo reale”, “questa persona è impiegata dalla società X” o “questo manutentore Linux ha incontrato questa persona e l’ha riconosciuta come manutentore del kernel”.
Indipendente dall’emittente e componibile
Queste credenziali possono essere ancorate in diversi modi: ID digitali emessi dal governo, ove disponibili; verificatori di identità di terze parti simili ai centri per le richieste di visto; datori di lavoro; o la stessa Linux Basis in qualità di emittente.
Montgomery ha sottolineato che il modello è intenzionalmente indipendente dall’emittente e componibile: se due sviluppatori condividono la fiducia in emittenti diversi, possono comunque trovare percorsi di fiducia sovrapposti, e quanto più esistono emittenti indipendenti, tanto più forte diventa il sistema complessivo.
Inoltre: utilizzo Home windows da decenni, ma ho provato Linux per vedere se ora è davvero “facile” e una cosa mi ha sorpreso
Tecnicamente, Linux ID è costruito attorno a identificatori decentralizzati (DID). Si tratta di un meccanismo in stile W3C per creare ID univoci a livello globale e associarvi chiavi pubbliche ed endpoint di servizio. Gli sviluppatori creano DID, utilizzando potenzialmente le chiavi esistenti basate su Curve25519 del mondo PGP di oggi, e pubblicano documenti DID tramite canali sicuri come endpoint “did:internet” basati su HTTPS che espongono la loro infrastruttura a chiave pubblica e dove inviare messaggi crittografati.
Oltre a ciò, il progetto utilizza un tessuto di messaggistica decentralizzato che può essere REST, DIDCommo un altro protocollo di trust-spanning. Ciò consente ai partecipanti di stabilire relazioni e scambiare credenziali senza rivelare la propria posizione fisica o topologia di rete. Ogni relazione utilizza i propri DID casuali ed effimeri, rendendo molto più difficile per gli osservatori che gestiscono l’infrastruttura di messaggistica dedurre chi sta parlando con chi o mappare il grafo sociale del kernel.
In una demo dal vivo, Gore ha illustrato come un nuovo sviluppatore senza precedenti credenziali crea un’identità, si unisce a una comunità Linux Basis e quindi stabilisce una relazione con un altro partecipante utilizzando DID a coppie. Una volta che la relazione esiste, le due parti possono scambiarsi credenziali di relazione (VRC) più ricche e verificabili che registrano fatti come quando è iniziata la relazione, il livello di fiducia che riflette e per quanto tempo le credenziali dovrebbero rimanere valide.
Inoltre: l’intelligenza artificiale si sta insinuando nel kernel Linux e è necessaria una politica ufficiale al più presto
Per i manutentori del kernel, l’concept è che queste credenziali sostengano le identità dietro il codice firmato: invece di fare affidamento esclusivamente su una chiave PGP firmata in una conferenza anni fa, i manutentori potrebbero controllare un insieme di nuove credenziali dimostrando che la chiave che vedono appartiene alla stessa persona riconosciuta dalla Linux Basis, dal loro datore di lavoro o da altri emittenti fidati. Queste credenziali possono essere inserite nei registri di trasparenza e in altri sistemi di controllo.
Montgomery e altri sono stati attenti nel dire che Linux ID non preverrà magicamente un altro attacco alla catena di fornitura in stile xz, ma sostengono che ciò ne aumenterà materialmente i costi. Invece di una singola chiave PGP e una manciata di firme, un utente malintenzionato dovrebbe accumulare e mantenere più credenziali di breve durata provenienti da emittenti che possono revocarle e da membri della comunità la cui reputazione è in gioco, il tutto mentre la loro attività viene trasmessa in registri di trasparenza pubblici o semi-pubblici.
È uno stack tecnologico, non una politica fissa
La progettazione del sistema spinge anche verso attestazioni di breve durata: gli emittenti sono incoraggiati a rilasciare credenziali valide per giorni o settimane, non anni, e a fare affidamento su registri fiduciari che possono contrassegnare le credenziali revocate anche se l’emittente e il titolare non sono più in contatto diretto. Questa combinazione di credenziali proceed e revoca supportata dal registro offre alla comunità più leve per rispondere quando si scopre che un collaboratore non è chi afferma di essere o quando il dispositivo o le chiavi di uno sviluppatore reale vengono compromessi.
Inoltre: perché la mia distribuzione Linux preferita sta rallentando e ne sono entusiasta
Un tema ribadito nel corso della sessione è stato che Linux ID è uno stack tecnologico, non una coverage fissa. Numerous comunità, dal kernel principale advert altri progetti della Linux Basis, potranno scegliere di quali emittenti fidarsi, quale livello di prova richiedere per i diversi ruoli e se gli agenti di intelligenza artificiale possono agire con credenziali delegate per eseguire attività automatizzate come l’integrazione continua o il take a look at delle patch.
Gli stessi meccanismi che consentono a un manutentore di garantire per un contributore umano possono delegare crittograficamente un’autorità limitata a un agente o servizio AI, con credenziali separate e contesti di fiducia che possono essere revocati in modo indipendente se qualcosa va storto. I ricercatori del Laboratorio di social media applicati di Harvard e altri stanno già sperimentando app compatibili che uniscono partecipanti umani e IA nelle stesse conversazioni basate sulle credenziali, suggerendo come l’ID Linux potrebbe intersecarsi con i futuri strumenti di sviluppo.
L’ID Linux deve ancora essere distribuito. Kroah‑Hartman ha affermato che il progetto è ancora in una fase esplorativa e di prototipazione. Il piano è portare la discussione a Idraulici Linux e il Vertice del kernel nel corso del prossimo anno. Nel breve termine, kernel.org potrebbe importare la rete di fiducia PGP esistente nel nuovo sistema per facilitare la migrazione, mentre i manutentori inizieranno a testare gli strumenti in parallelo con gli odierni processi basati su PGP.
Inoltre: ho trovato le migliori distribuzioni di server Linux per il tuo laboratorio domestico
Barbosa e altri hanno inquadrato il lavoro come parte di una spinta più ampia affinché la Linux Basis guidi l’infrastruttura fiduciaria decentralizzata. In altre parole, questa tecnologia non è solo per gli sviluppatori del kernel. È rivolto a qualsiasi comunità open supply o ecosistema basato sull’intelligenza artificiale che si trova advert affrontare una crisi di identità e autenticità in rapido peggioramento.
Una volta implementati, i futuri sviluppatori e il codice saranno supportati non solo da un tag firmato ma da una storia ricca e verificabile crittograficamente su chi sta dietro advert esso. Ciò significa che il codice Linux sarà più sicuro che mai.
