Підпис релізів має бути частиною open source-процесу

Підпис пов’язує артефакт із відповідальністю

Контрольна сума показує, що файл не змінився, але не пояснює, хто опублікував початкове значення. Криптографічний підпис додає перевірюваний зв’язок із ключем проєкту або процесом збірки. Документація повинна чітко називати, які файли підписуються, де користувач отримує довірений ключ і що саме перевіряє команда перед публікацією. Якщо інструкція існує лише в старому обговоренні, більшість людей не зможе безпечно нею скористатися.

Ключ не повинен жити на звичайному ноутбуці

Особистий комп’ютер мейнтейнера містить браузер, пошту, середовище розробки й багато залежностей. Постійне зберігання ключа релізу розширює наслідки одного зараження. Використовуйте апаратний захист або окремий сервіс підписання з багатофакторним підтвердженням і журналом операцій. Доступ потрібно мати щонайменше двом підготовленим учасникам, але кожна дія має залишатися персональною. Спільний файл ключа в менеджері секретів не дає зрозуміти, хто саме випустив артефакт. Підпис варто поєднати з обліком компонентів у ланцюгу постачання ПЗ і процесом, який не створює постійного перевантаження мейнтейнерів.

Автоматизація має зберігати походження

Конвеєр може зібрати, протестувати й підписати пакет без ручного копіювання файлів, але йому потрібні обмежені повноваження. Запуск релізу слід прив’язати до захищеної версії коду, перевірених залежностей і схвалення визначених ролей. Зберігайте відомості про коміт, середовище та кроки збірки поруч із підписом. Це допоможе відрізнити офіційний випуск від пакета, який хтось створив із того самого репозиторію в іншому середовищі.

План заміни ключа потрібен до інциденту

Компрометація не повинна вперше ставити питання, як повідомити користувачів і відкликати довіру. Опишіть строк дії, резервний ключ, канал оголошення та процедуру перевипуску. Періодично перевіряйте, чи доступні інструкції новому мейнтейнеру й чи можна виконати ротацію без зупинки проєкту. Старі релізи мають залишатися перевірюваними, тому історію ключів і дат потрібно зберігати. Готовий процес зменшує тиск у момент, коли команда вже розслідує інцидент.