root-signing

Sigstore root-signing

root-signing परियोजना उस TUF रिपॉज़िटरी का रखरखाव करती है जिसका उपयोग Sigstore क्लाइंट्स को Sigstore ट्रस्ट रूट (trusted_root.json) को सुरक्षित रूप से वितरित करने के लिए किया जाता है।

दस्तावेज़ीकरण

• signer manual में keyholder के दृष्टिकोण से प्रक्रिया और आवश्यकताओं का वर्णन किया गया है
• maintainer manual में कुछ रखरखाव पहलुओं का वर्णन किया गया है
• infrastructure doc में आवश्यक सेवाओं और कॉन्फ़िगरेशन के बारे में विस्तार से बताया गया है
• अधिक तकनीकी दस्तावेज़ीकरण tuf-on-ci परियोजना में शामिल है, जो वह सॉफ़्टवेयर है जिसका उपयोग root-signing को चलाने के लिए किया जाता है

TUF रिपॉज़िटरी की स्थिति

रिपॉज़िटरी को sigstore क्लाइंट उपभोग के लिए https://tuf-repo-cdn.sigstore.dev/ पर प्रकाशित किया गया है।

मेटाडेटा स्रोत metadata/ फ़ोल्डर में पाए जा सकते हैं, आर्टिफ़ैक्ट्स (जैसे trusted_root.json) targets/ फ़ोल्डर में। इन स्रोतों को संशोधित करने के तरीके के बारे में अधिक जानकारी के लिए Operation देखें।

Keyholders

root-signing की सुरक्षा keyholders पर निर्भर करती है: उन्हें विश्वसनीय समुदाय के सदस्य होना चाहिए जो keyholder कर्तव्यों को निभाने के लिए इच्छुक और सक्षम हों, जैसे नए trusted_root.json सामग्री का सत्यापन करना और साइनिंग इवेंट्स में हस्ताक्षर करना।

आर्टिफ़ैक्ट्स या मेटाडेटा में सभी परिवर्तनों के लिए Sigstore keyholders के क्रिप्टोग्राफ़िक हस्ताक्षर आवश्यक हैं। वर्तमान keyholders, हस्ताक्षर आवश्यकताएँ और साइनिंग शेड्यूल प्रकाशित रिपॉज़िटरी में प्रलेखित हैं

Keyholders	कार्यकाल
Lance Ball	जुलाई 2025 -
Joshua Lock	जुलाई 2022 -
Bob Callaway	जून 2021 -
Marina Moore	जून 2021 -
Santiago Torres-Arias	जून 2021 -

Emeritus keyholders	कार्यकाल
Luke Hinds	जून 2021 - जुलाई 2022
Dan Lorenc	जून 2021 - जुलाई 2025

संचालन

TUF रिपॉज़िटरी को दो तरीकों से संशोधित किया जाता है:

1. साइनिंग इवेंट्स जहाँ keyholders अपनी व्यक्तिगत हार्डवेयर कुंजियों के साथ परिवर्तनों पर हस्ताक्षर करने के लिए सहयोग करते हैं और
2. ऑनलाइन साइनिंग जहाँ root-signing मशीनरी KMS कुंजियों का उपयोग करके परिवर्तनों पर हस्ताक्षर करती है

साइनिंग इवेंट्स

साइनिंग इवेंट्स वे pull requests होते हैं जिन्हें root-signing द्वारा बनाया और प्रबंधित किया जाता है जहाँ keyholders प्रस्तावित परिवर्तनों पर हस्ताक्षर करते हैं। साइनिंग इवेंट्स कई कारणों से होते हैं:

• Maintainer trusted_root.json में परिवर्तन प्रस्तावित करता है
• Maintainer रिपॉज़िटरी कॉन्फ़िगरेशन (वर्तमान keyholders, हस्ताक्षर थ्रेसहोल्ड, आदि) में परिवर्तन प्रस्तावित करता है
• जब हस्ताक्षर समाप्ति के करीब होते हैं तो root-signing पुनः हस्ताक्षर का प्रस्ताव करता है

सभी मामलों में साइनिंग इवेंट PR बनाए जाने का ट्रिगर "sign/*" ब्रांच में एक push होता है (या तो maintainer द्वारा या किसी workflow द्वारा)।

एक अलग root-signing-staging रिपॉज़िटरी है: कोई भी गैर-तुच्छ परिवर्तन (मेटाडेटा या आर्टिफ़ैक्ट्स में) को root-signing साइनिंग इवेंट में पेश करने से पहले root-signing-staging में परीक्षण किया जाना चाहिए।

ऑनलाइन साइनिंग

ऑनलाइन साइनिंग दो स्थितियों में होती है:

• एक साइनिंग इवेंट PR मर्ज हो गया है
• एक ऑनलाइन (KMS) हस्ताक्षर समाप्ति के करीब है

व्यवहार में ऑनलाइन साइनिंग ऑनलाइन हस्ताक्षर समाप्ति के कारण कम से कम हर तीन दिन में होती है।

प्रकाशन और स्वचालित परीक्षण

ऑनलाइन साइनिंग https://sigstore.github.io/root-signing/ पर "preproduction" डिप्लॉयमेंट की ओर ले जाती है। यह एक पूरी तरह कार्यात्मक TUF रिपॉज़िटरी है जिसका उपयोग सामान्य TUF क्लाइंट परीक्षण और Sigstore विशिष्ट क्लाइंट परीक्षण (cosign और अन्य sigstore क्लाइंट्स के साथ) दोनों को चलाने के लिए किया जाता है। सफल परीक्षण https://tuf-repo-cdn.sigstore.dev/ पर उत्पादन डिप्लॉयमेंट की ओर ले जाते हैं।

Workflows

root-signing में महत्वपूर्ण वर्कफ़्लो हैं:

• create-signing-events हस्ताक्षर समाप्ति के करीब होने पर साइनिंग इवेंट्स के लिए ब्रांच बनाता है। शेड्यूल पर चलता है
• signing-event साइनिंग इवेंट पुल रिक्वेस्ट बनाता और प्रबंधित करता है। तब चलता है जब "sign/*" ब्रांच पुश की जाती हैं
• online-sign ऑनलाइन हस्ताक्षर कमिट और मर्ज करता है, साथ ही publish को डिस्पैच करता है। तब चलता है जब "main" पुश की जाती है (लेकिन किसी भी समय मैन्युअली डिस्पैच किया जा सकता है)
• publish एक टेस्ट रिपॉज़िटरी को GitHub Pages पर प्रकाशित करता है, क्लाइंट टेस्ट चलाता है, और अंत में रिपॉज़िटरी प्रकाशित करता है। online-sign से डिस्पैच पर चलता है

आभार

Dan Lorenc, Trishank Kuppusamy, Marina Moore, Santiago Torres-Arias, और पूरे SigStore समुदाय को विशेष धन्यवाद!

प्रारंभिक रूट साइनिंग सेरेमनी

साइनिंग सेरेमनी की एक रिकॉर्डिंग यहाँ उपलब्ध है।