文章介绍了开源软件在当前数字世界中的重要性和广泛应用，同时强调了安全漏洞带来的风险。针对此问题，软件工程师Kelsey Merrill和其合作者开发了名为Speranza的系统，通过数字签名技术和身份共同承诺概念，确保软件的完整性和源头的真实性，同时保护开发者的隐私。该系统得到了专家的高度评价，并在学术会议上发表研究论文。Speranza系统使软件消费者能够自动验证软件包的来源，提高对开源软件真实性的信任。全文涉及安全风险、技术创新和专家评价等内容，阅读时间估计为5分钟。*
在当今的数字世界中，开源软件无处不在，成为了各大行业的重要组成部分。根据2023年的开源安全与风险分析报告，96%的主要工业使用的计算机程序包含开源软件，其中76%的程序完全由开源软件构成。然而，包含安全漏洞的软件包比例仍然高企，这引发了人们的关注。
Kelsey Merrill，一位来自麻省理工学院电子工程与计算机科学系的软件工程师，指出一个主要问题是，即使是来自可靠开发者的软件也可能在供应链中被带有恶意意图的攻击者修改。2020年的SolarWinds安全事件就是一个典型例子，该公司的软件更新被黑客植入恶意代码，影响了包括微软、英特尔在内的18000多家客户，以及包括国务院、国防部、财政部、商务部和国土安全局在内的约十几个美国政府机构。
为了解决这一问题，Merrill与她的三位合作者——她的前导师Karen Sollins、普渡大学计算机科学助理教授Santiago Torres-Arias和Chainguard Labs研究科学家Zachary Newman——开发了一个名为Speranza的新系统，旨在确保用户获得的产品没有被篡改，且直接来自他们信任的源头。
Speranza系统允许软件维护者在保持匿名的同时，确保下载的代码是正确的，由合法维护者提供。这是通过数字签名技术实现的，该技术生成一对密钥——一个私钥和一个公钥，通过各种密码技术提供更大的内置安全性。Speranza在Sigstore系统的基础上进行了改进，解决了用户需要管理长数字密钥和维护者身份隐私的问题。
Speranza的关键创新是一种称为“身份共同承诺”的原创概念，使用零知识证明来确保软件的真实来源，同时保护开发者的隐私。该系统确保软件来自正确的源头，无需开发者透露个人信息，如电子邮件地址。纽约大学网络安全中心的博士候选人Marina Moore和英特尔实验室安全与隐私研究小组的研究科学家Marcela Mellara都对Speranza系统的优点给予了高度评价。
Speranza系统的研究论文已在哥本哈根的计算机和通信安全会议上发表。通过Speranza，软件消费者可以自动验证他们从Speranza启用的仓库中获得的软件包是否来自预期的维护者，并获得使用的软件是真实的信任。
新闻资料来源：Boosting faith in the authenticity of open source software
读者可能会感兴趣的问题：
1. Speranza系统如何确保软件维护者可以保持匿名？
- Speranza系统使用了一种称为“身份共同承诺”的原创概念，通过零知识证明来确保软件的真实来源，同时保护开发者的隐私。开发者无需透露个人信息，如电子邮件地址，即可确保软件来自正确的源头。
2. 为什么数字签名技术在确保软件来源方面如此重要？
- 数字签名技术通过生成一对密钥——私钥和公钥，为软件提供了更大的内置安全性，能够确保下载的代码是正确的，由合法维护者提供。
3. Speranza系统相比其他类似系统有哪些优势？
- Speranza系统相比其他系统的关键创新在于“身份共同承诺”的概念，使用零知识证明来确保软件的真实来源，同时保护开发者的隐私。此外，它还解决了用户需要管理长数字密钥和维护者身份隐私的问题。
4. 这种类型的系统对于普通的软件使用者有何意义？
- 对于普通的软件使用者，Speranza系统允许他们自动验证从启用Speranza的仓库中获得的软件包是否来自预期的维护者，从而确保使用的软件是真实的信任，有助于提升开源软件的安全性。
5. Speranza系统是否已经在实际开源软件社区中得到应用？
- 目前文章提到Speranza系统的研究论文已经在计算机和通信安全会议上发表，但具体是否在实际开源软件社区中推广应用尚不确定。
6. 除了Speranza系统，还有其他类似的开源软件安全解决方案吗？
- 当前市场上还有其他类似的开源软件安全解决方案，但Speranza系统的身份共同承诺原创概念和使用零知识证明来确保软件真实来源并保护开发者隐私的方法可能是其与其他系统的区别之处。
7. 未来Speranza系统可能会如何发展？
- 未来Speranza系统可能会不断完善自身的安全性和易用性，提升用户体验，并尝试推广到更广泛的开源软件社区中，以提升开源软件的可信度和安全性。
*简介与问答内容由人工智能chatGPT根据文章内容总结发散，仅供参考，如有冲突请以正文内容为准
【独家稿件声明】本文为美国续航教育（Forward Pathway LLC，官网地址：www.forwardpathway.com）原创，未经授权，任何媒体和个人不得全部或者部分转载。如需转载，请与美国续航教育联系；经许可后转载务必请注明出处，违者本网将依法追究。
美国续航教育总部位于美国加利福尼亚州洛杉矶，同时在中国上海和深圳设有续航教育分部。续航教育自2013年成立以来，致力于研究中美之间的文化教育发展与趋势，提供最专业的美国留学一站式服务，获得美国国际招生协会AIRC及国际教育顾问委员会ICEF的双重认证。
觉得有用的话就评价/分享一下吧~
