gittufの紹介

サイバートラスト株式会社 河原颯太氏
2026年10月26日開催 OSSセキュリティMeetup 講演資料

Transcript

1. gittufの紹介 2026/10/26 OpenSSF OSSセキュリティ Meetup サイバートラスト株式会社 河原 颯太 Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開
2. 本発表のテーマ : gittuf gittuf ( https://gittuf.dev/)
3. Index ▪ gittufの目的・できること ▪ gittufとTUF ▪ gittufの機能 • • • • gittufの前提 RSL(Reference State Log) gittufにおける署名と検証 gittufにおける検証とattestation reference ▪ demo
4. gittufの目的・できること Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開
5. gittufの目的 “gittuf is a platform-agnostic Git security system. can use gittuf to protect the contents of a Git repository from unauthorized or malicious changes.” gittufは「プラットフォームに依存しないGitセキュリティシステム」である． gittufを使用して，Gitリポジトリの内容を 不正な悪意ある変更から保護 することができる． “With gittuf, any developer who can pull from a Git repository can independently verify that the repository's security policies were followed.” ユーザーはリポジトリがセキュリティポリシーにしたがって 開発されていることを検証する ことができる
6. gittufでできること・特徴 ▪ リポジトリの保護ポリシー • ブランチ・ファイル単位で「誰が権限を持つか」を管理 • 階層的にこの権限/保護を移譲できる • リポジトリの変更記録が署名付きログ(RSL)に残る • 複数人の承認を要求できる ▪ forgeに依存しない • ポリシーやログは `refs/gittuf` 配下のgit objectに格納されるた め，forge(GitHub, GitLab…)に依存しない． ▪ リポジトリをクローンできる人はだれでも独立して検証/信頼すること ができる
7. gittufとTUF Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開
8. gittufとTUFの目的の違い TUFの目的 アップデートを安全に配布する gittufの目的 gitリポジトリを不正な変更から保護する gittufは TUFを仕様内の一部として活用した 別の目的を達成する別の仕様 である
9. TUFのおさらい 0/4 OpenChain Japan Community Day vol.36での資料参照
10. TUFのおさらい 1/4 (TUFの目的) “a framework for securing software update systems” TUFは「ソフトウェアアップデートシステムを安全に するためのフレームワーク 」である “We are not creating a universal update system” “a simple and flexible way that applications can have high levels of security with their software update systems” TUFは既存のソフトウェアアップデートシステムを 塗り替えたり統合するものではない 既存のソフトウェアアップデートシステムが自身を， 攻撃から保護するために活用できるメカニズムを提供
11. TUFのおさらい 2/4 (TUFでできること・特徴 ) ▪ 強力な鍵管理メカニズム • ロール分割により鍵を分けて管理，被害範囲を小さく • 配布物(Targets)に対する柔軟な権限付与・管理 • Root of Trustを起点とした検証・信頼のチェーンモデル ▪ 配布物の検証 • 本物か? • 最新か? • 矛盾がないか?
12. TUFのおさらい 3/4 (root.jsonのデータとほかのメタデータの関係 )
13. TUFのおさらい 4/4 (delegationの補足)
14. gittuf内でTUFがどのように使われているか
15. gittuf内でTUFがどのように使われているか ▪ ▪ ▪ ▪ “policy”というReferenceでTUFのメタデータが管理されている targets.json内にリポジトリのルールが記載される ユーザーはリポジトリのルール自体をTUFの検証によって信頼 (詳細割愛)TUFのDelegationによってtargets.jsonの下にさらに分割で きる
16. gittuf内でTUFがどのように使われているか gittufは リポジトリを守るためのルール をTUFを使って保護している
17. gittufの機能 Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開
18. gittufの前提 ▪ gitのcommit object標準のAuthorやDateなどの情報は一切信頼しな い ▪ 署名のみを信頼 • git標準でgit objectにつけられる署名を活用 • gittufの拡張機能で署名を付与できる(後述)
19. RSL(Reference State Log) ▪ reference名とcommit ID ▪ このRSL Entryが作成された時 点で，示されたrefが示された commit IDの状態に更新された ことを表す
20. RSL(Reference State Log) ▪ mainブランチのコミット “C” は ，policy A時点のルールが適用 される ▪ mainブランチのコミット “D” は ，policy B時点のルールが適用 される
21. gittufにおける署名と検証 ▪ gittufにおける署名 • git標準でgit objectにつけられる署名を活用 • すべてのcommit objectには署名がつけられる ▪ gittufにおける検証 • 署名を検証することにより，「そのコミットを作成した人物」が特定 できる(principalと呼ぶ) • policyとprincipal，および変更内容を比較し，policyに則った変更 であるかを検証する
22. gittufにおける署名と検証
23. gittufにおける検証と attestation reference ▪ git標準でcommit objectに付与 できる署名は1つだけ ▪ 2つ以上の署名を付与したい場 合，署名データはattestation referenceの配下に保管される ▪ これを活用して， 「複数人レビュー」 などを実現で きる
24. demo ▪ 実際にgittufが使われているリポジトリをクローンして検証 ▪ 手元のdemoリポジトリでgittufの情報を確認 ▪ 権限のついていない鍵(のみ)の署名で変更を追加 ▪ 検証が失敗するか確認
25. 留意事項 本資料に記載されている会社名、製品名、サービス名は、当社または各社、各団体の商標もしくは登録商標です。 その他本資料に記載されているイラスト・ロゴ・写真・動画・ソフトウェア等は、当社または第三者が有する知的財産権やその他の権利により守られております。 お客様は、当社が著作権を有するコンテンツについて、特に定めた場合を除き、複製、改変、頒布などをすることはできません。 本資料に記載されている情報は予告なしに変更されることがあります。また、時間の経過などにより記載内容が不正確となる場合がありますが、当社は、当該情報を更新する義 務を負うものではありません。 Copyright Cybertrust Japan Co., Ltd. All rights reserved.