Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones esencia de ZDNET

• El kernel de Linux avanza alrededor de una mejor modo de identificar a los desarrolladores y su código.
• Este nuevo enfoque puede ser utilizado por otros proyectos de código amplio.
• Aún no se está implementando, pero espero que esté implementado para esta época el próximo año.

NAPA, California — En palabras inmortales del desarrollador de canciones Pete Townshend: “Bueno, ¿quién eres? (¿Quién eres? ¿Quién, quién, quién, quién?) ¡En realidad quiero saberlo!”. Los mantenedores del kernel de Linux tienen la misma pregunta: ¿Quiénes son sus programadores y cómo puede la comunidad del kernel estar segura de que el código que envían es efectivamente suyo?

Durante décadas, los desarrolladores del kernel de Linux utilizaron Privacidad harto buena (PGP) para identificar a los desarrolladores y sus artefactos de impulso. La integración PGP de Git habilitó etiquetas firmadas para probar la integridad del repositorio de código y compromisos firmados para evitar que los piratas informáticos se hagan tener lugar por desarrolladores legítimos.

Adicionalmente: la última lectura del kernel de Linux cierra la era 6.x y es un regalo para los administradores de la estrato

En 2011, los piratas informáticos lograron conseguir al principal sitio de expansión de Linux. kernel.org. Luego, para cerciorarse de que esto no volviera a suceder, la red de confianza PGP del kernel fue explícitamente “aceleración” en una sesión cara a cara de firma de claves durante la Cumbre del Kernel de 2011.

Más recientemente, la utilidad xz fue comprometida por un desarrollador ladino, lo que casi lleva a que el malware infecte Linux.

Un proceso doloroso

Hoy en día, los mantenedores del kernel que desean una cuenta en kernel.org deben encontrar a alguno que ya esté en la red de confianza de PGP, reunirse con él cara a cara, mostrarle una identificación oficial y firmar su esencia. El proceso es como una búsqueda del riquezas completo y manual. El mantenedor del kernel de Linux, Greg Kroah-Hartman, hablando en la Cumbre de Miembros de la Fundación Linux, lo describió como “una tarea difícil de hacer y dirigir”. Esto se debe a que se rastrea mediante secuencias de comandos manuales, las claves quedan obsoletas y el planisferio conocido de “quién vive dónde” crea riesgos de privacidad y de ingeniería social.

Por lo tanto, los mantenedores del kernel están trabajando para reemplazar esta frágil red de confianza de firma de claves PGP con una capa de identidad descentralizada que preserva la privacidad y que puede contestar tanto por los desarrolladores como por el código que firman.

Adicionalmente: Esta puerta trasera casi infecta Linux en todas partes: el suspensión de XZ Utils

Su nuevo enfoque, al que llamaré Linux ID, fue presentado esta semana por Confianza descentralizada de la Fundación Linux líderes Daniela Barbosa y Hart Montgomery, pegado con el socio Glenn Gore, CEO de Afínidosuna empresa fiduciaria digital de tipificado amplio. Linux ID está destinado a convidar a la comunidad del kernel una forma más flexible de demostrar quiénes son las personas y quiénes no, sin acudir a frágiles partes de firma de claves o videollamadas a propósito.

En el centro de Linux ID hay un conjunto de “pruebas de personalidad” criptográficas basadas en estándares de identidad digital modernos en circunstancia de la firma de claves PGP tradicional. En circunstancia de una única red monolítica de confianza, el sistema emite e intercambia credenciales de personalidad y credenciales verificables que afirman cosas como “esta persona es un individuo positivo”, “esta persona es empleada de la empresa X” o “este mantenedor de Linux conoció a esta persona y la reconoció como mantenedor del kernel”.

Independiente del emisor y componible

Estas credenciales se pueden fondear de varias maneras: identificaciones digitales emitidas por el gobierno, cuando estén disponibles; verificadores de identidad de terceros similares a los centros de solicitud de visas; empleadores; o la propia Fundación Linux actuando como emisor.

Montgomery enfatizó que el maniquí es intencionalmente independiente del emisor y componible: si dos desarrolladores comparten la confianza en diferentes emisores, aún pueden encontrar caminos de confianza superpuestos, y cuanto más emisores independientes existan, más robusto se vuelve el sistema en normal.

Adicionalmente: he usado Windows durante décadas, pero probé Linux para ver si ahora es efectivamente “claro” y una cosa me sorprendió.

Técnicamente, la ID de Linux se basamento en identificadores descentralizados (DID). Este es un mecanismo estilo W3C para crear identificaciones únicas a nivel mundial y adjuntarles claves públicas y puntos finales de servicio. Los desarrolladores crean DID, utilizando potencialmente claves existentes basadas en Curve25519 del mundo PGP flagrante, y publican documentos DID a través de canales seguros como puntos finales “did:web” basados ​​en HTTPS que exponen su infraestructura de esencia pública y dónde despachar mensajes cifrados.

Adicionalmente de eso, el esquema utiliza un tejido de transporte descentralizado que puede ser REST, DIDComu otro protocolo que abarque la confianza. Esto permite a los participantes establecer relaciones e canjear credenciales sin revelar su ubicación física o topología de red. Cada relación utiliza sus propios DID aleatorios y efímeros, lo que hace mucho más difícil para los observadores que ejecutan la infraestructura de transporte inferir quién está hablando con quién o mapear el esquema social del núcleo.

En una demostración en vivo, Gore explicó cómo un nuevo desarrollador sin credenciales previas crea una identidad, se une a una comunidad de la Fundación Linux y luego establece una relación con otro participante utilizando DID por pares. Una vez que existe esa relación, las dos partes pueden canjear credenciales de relación (VRC) más ricas y verificables que registren hechos como cuándo comenzó la relación, el nivel de confianza que refleja y durante cuánto tiempo la credencial debe permanecer válida.

Adicionalmente: la IA se está infiltrando en el kernel de Linux y se necesita una política oficial lo antiguamente posible

Para los mantenedores del kernel, la idea es que estas credenciales respalden las identidades detrás del código firmado: en circunstancia de subordinarse nada más de una esencia PGP firmada en una conferencia hace abriles, los mantenedores podrían probar un conjunto de credenciales nuevas que demuestren que la esencia que ven pertenece a la misma persona reconocida por la Fundación Linux, su empleador u otros emisores confiables. Estas credenciales se pueden introducir en registros de transparencia y otros sistemas de auditoría.

Montgomery y otros tuvieron cuidado al asegurar que Linux ID no evitará mágicamente otro ataque a la sujeción de suministro al estilo xz, pero argumentan que aumenta materialmente el costo. En circunstancia de una única esencia PGP y un puñado de firmas, un atacante necesitaría acumular y amparar múltiples credenciales de corta duración de emisores que puedan revocarlas y de miembros de la comunidad cuya propia reputación esté en mecanismo, todo mientras su actividad se transmite a registros de transparencia públicos o semipúblicos.

Es una pila de tecnología, no una política fija

El diseño del sistema incluso promueve certificaciones de último duración: se alienta a los emisores a emitir credenciales válidas por días o semanas, no por abriles, y a encomendar en registros fiduciarios que puedan señalar credenciales revocadas incluso si el emisor y el titular ya no están en contacto directo. Esa combinación de credenciales continuas y revocación respaldada por el registro le da a la comunidad más palancas para contestar cuando un contribuyente resulta no ser quien dice ser o cuando el dispositivo o las claves de un desarrollador positivo se ven comprometidos.

Adicionalmente: Por qué mi distribución de Linux favorita se está ralentizando, y eso me emociona

Un tema reiterado a lo grande de la sesión fue que Linux ID es una pila de tecnología, no una política fija. Las diferentes comunidades, desde el kernel central hasta otros proyectos de la Fundación Linux, podrán nominar en qué emisores confían, qué nivel de prueba requieren para diferentes roles y si los agentes de IA pueden proceder con credenciales delegadas para realizar tareas automatizadas como integración continua o pruebas de parches.

Los mismos mecanismos que permiten a un responsable contestar por un colaborador humano pueden delegar criptográficamente una autoridad limitada a un agente o servicio de IA, con credenciales separadas y contextos de confianza que pueden revocarse de forma independiente si poco sale mal. Investigadores de la Laboratorio de redes sociales aplicadas de Harvard y otros ya están experimentando con aplicaciones compatibles que combinan participantes humanos y de IA en las mismas conversaciones con gratitud de credenciales, insinuando cómo la identificación de Linux podría cruzarse con futuras herramientas para desarrolladores.

La identificación de Linux aún no se ha implementado. Kroah-Hartman dijo que el esfuerzo aún se encuentra en una etapa de exploración y creación de prototipos. El plan es resistir la discusión a Plomeros Linux y el Cumbre del núcleo durante el próximo año. En el corto plazo, kernel.org podría importar su red de confianza PGP existente al nuevo sistema para simplificar la migración, mientras los mantenedores comienzan a probar las herramientas en paralelo con los procesos actuales basados ​​en PGP.

Adicionalmente: encontré las mejores distribuciones de servidores Linux para su laboratorio doméstico

Barbosa y otros enmarcaron el trabajo como parte de un impulso más amplio para que la Fundación Linux lidere la infraestructura de confianza descentralizada. En otras palabras, esta tecnología no es sólo para desarrolladores de kernel. Es para cualquier comunidad de código amplio o ecosistema impulsado por IA que enfrente una crisis de identidad y autenticidad que empeora rápidamente.

Una vez implementados, los futuros desarrolladores y el código estarán respaldados no solo por una epíteto firmada sino incluso por una historia rica y verificable criptográficamente sobre quién está detrás de ella. Esto significa que el código de Linux será más seguro que nunca.