-
Notifications
You must be signed in to change notification settings - Fork 16
Interview Sigstore
title: LCC 999 - Interview SigStore et sécurisation de la chaine logicielle avec Hervé Boutemy author: 'Emmanuel Bernard' team: 'Emmanuel Bernard, Guillaume Laforge, Vincent Massol, Antonio Goncalves, Arnaud Héritier, Audrey Neveu' layout: blog-post episode: 999 mp3_length: 85017000 tweet: TODO
Résumé
TODO: comment ajouter une news
-
titre en français si possible
-
pas de bullet points mais ajouter deux espaces à la fin de la ligne (cela fait passer à la ligne)
- bullet points autorisés si plusieurs liens sur là même news
Enregistré le xx septembre 2022
Téléchargement de l'épisode LesCastCodeurs-Episode-999.mp3
En une phrase chacun :
- PGP
- Sigstore
Et pourquoi on signe en fait ? (use case)
- discussion attaque de la chaine logicielle (solarwind, professionalisation des hackers, nodejs, rachats de repos etc)
- discussion sur le build reproducible
Pourquoi on a des repository comme Maven central? Pourquoi on reconstruit pas tout a chaque fois? Ca aiderait?
Qu'est-ce que ca veut dire signer ?
Elle est dans le binaire la signature ?
Ca veut dire quoi accepter la signature ?
Et un sha256 c'est pas suffisant?
On a deux technos
Ca vient d'où et de quand ?
Comment cela marche (etapes concretes devant l'ordi) ?
Petit brief sur les concepts cryptos sur la signature (asymmetrique, Alice et Bob) sans aller dans le détail
On verifie comment une signature en PGP ?
- confiance des clés
- echanges de clés etc
Dans maven ou gradle cela se passe comment ?
Hors maven central et dans maven central ?
Les points faibles c'est quoi ?
Ca vient d'où et de quand ?
Ca marche comment concretement devant mon poste (flow) ?
C'est pas vraiment Keyless, mais sans gestion de clés ?
C'est prest déjà ?
Ils ont quoi ?
(Cela s'integre comment dans maven, gradle et maven central ? -> peut etre apres)
Quels sont les composants
fulcio
- c’est quoi, ca fait quoi
- relations vec OIDC
- qui va faire tourner ce serveur?
rekor
- c’est quoi, ca fait quoi
- qui va faire tourner ce serveur
Le workflow:
- clef privée / publique generee
- elle va où après? qui la garde?
- session où on signe les fichiers
- envoie les signatures dans record (avec une validation basée sur le temps?)
Detail du workflow concrètement pour moi en tant que dev
- il y a quoi dans ce qui est stocké dans rekor?
Et pour la generation machine machine (CI/CD)?
- detail comment ca marche avec OIDC?
Mon email et l’OIDC est la source de confiance
Je peux le faire dans Maven central?
Qu’est-ce qu’il y a a améliorer ou décider?
- bundle
Comment ils font dans les mondes javascript, python etc, quel est l’état d’avancement?
Il y a des Special Interest Groups comme dans CNCF sur Sigstore?
Ledger technology
- monitoring de l’activité
Solution finale complete a ton avis ou un bonne etape intermediaire ?
Comment ils font dans les mondes javascript, python etc, quel est l’état d’avancement?
Comment je valide cela
- Maven, Gradle, etc
C’est quoi l’objectif
C’est quoi le problème?
Le lien avec le signature
Comment tu vois la suite ?
Il y a de concurrents ?
Des choses quoi complémentent ?
Pour réagir à cet épisode, venez discuter sur le groupe Google https://groups.google.com/group/lescastcodeurs
Contactez-nous via twitter https://twitter.com/lescastcodeurs
Faire un crowdcast ou une crowdquestion
Soutenez Les Cast Codeurs sur Patreon https://www.patreon.com/LesCastCodeurs
Tous les épisodes et toutes les infos sur https://lescastcodeurs.com/