Cadangan Python Software Foundation untuk menghentikan penggunaan tandatangan PGP dan beralih kepada Sigstore telah mencetuskan perbahasan penting dalam komuniti pembangun, terutamanya berkaitan kebolehpercayaan pengesahan pakej dan implikasi penggunaan secara paksa.
Keadaan Semasa Pengesahan Pakej Python
Penemuan terkini telah mendedahkan isu-isu yang membimbangkan dengan sistem pengesahan PGP sedia ada. Menurut perbincangan komuniti, audit yang dijalankan pada Mei 2023 mendedahkan bahawa daripada 1,069 kunci unik yang digunakan untuk tandatangan pakej di PyPI:
- 30% tidak dapat ditemui pada pelayan kunci awam utama
- Hampir separuh daripada baki 71% tidak dapat disahkan secara bermakna
- Malah keluaran CPython yang lebih lama daripada versi 2.7 menghadapi cabaran pengesahan
Cadangan Peralihan
Pembangun keselamatan PSF, Seth Myhre Larson, telah mencadangkan untuk beralih sepenuhnya kepada Sigstore menjelang tahun hadapan. Peralihan ini akan menandakan perubahan besar daripada kaedah tandatangan PGP tradisional yang telah sebati dalam budaya sumber terbuka.
Perbezaan Utama dan Implikasi
Pendekatan Sigstore
- Menggunakan OpenID Connect (OIDC) untuk pengesahan identiti
- Menghapuskan keperluan pengurusan kunci PGP secara manual
- Bergantung kepada pihak berkuasa berpusat berbanding rangkaian kepercayaan
- Melaksanakan sijil jangka hayat tunggal dan pengesahan lejar awam
Kebimbangan Komuniti
- Penggunaan Secara Paksa : Sesetengah ahli komuniti berpendapat bahawa menghapuskan sokongan PGP sepenuhnya bercanggah dengan prinsip pilihan sumber terbuka
- Kesan Pengedaran : Pengedaran Linux utama kini kekurangan proses untuk bekerja dengan Sigstore
- Pemusatan : Sistem baharu bergantung kepada bilangan pembekal yang terhad
Penyelesaian Alternatif
Sesetengah ahli komuniti telah mencadangkan untuk meneroka kaedah pengesahan lain, termasuk:
- W3C DIDs dengan pengesahan berasaskan blockchain
- Kelayakan Boleh Disahkan (VCs)
- Pelaksanaan TUF dan Uptane
- Pendekatan hibrid yang mengekalkan sokongan PGP dan Sigstore
Peralihan ini mewakili titik kritikal dalam infrastruktur keselamatan Python, mengimbangi keperluan keselamatan moden dengan pilihan komuniti dan cabaran pelaksanaan praktikal.