susescc/notary

Notary

Notary项目包含服务器和客户端，用于运行和交互可信集合。详情请查看服务架构文档。

Notary旨在简化内容发布与验证流程，解决TLS依赖服务器的固有缺陷——服务器被攻破时***内容可替换合法内容。发布者可离线签名内容，推送至Notary服务器；消费者通过安全渠道获取公钥后，即可验证内容有效性。

核心功能

基于更新框架（TUF），具备以下优势：

• 密钥妥协生存性：分层密钥角色设计，除根密钥外，单个密钥泄露不致命影响系统安全。
• 新鲜度保证：时间戳机制确保消费者获取最新内容，避免旧漏洞版本***。
• 信任阈值配置：支持设置内容签名最小数量要求（如多维护者签名），降低单密钥风险。
• 签名委托：发布者可将部分内容签名权委托给他人，委托信息经签名验证。
• 兼容现有分发：信任保证不依赖特定渠道，可集成到任意内容交付机制。
• 支持不信任镜像：元数据可通过任意渠道镜像和分发。

使用场景

• 软件分发：验证下载包未被篡改。
• Docker镜像：与Docker Hub结合，确保镜像真实性。
• 内容平台：为用户提供可信的签名与验证服务。

配置指南

本地部署步骤

1. 安装http://docs.docker.com/compose/install/。
2. 克隆仓库并启动服务：

   sh
   git clone https://github.com/docker/notary.git
   cd notary
   docker-compose build
   docker-compose up -d
   mkdir -p ~/.notary && cp cmd/notary/config.json cmd/notary/root-ca.crt ~/.notary
   

3. 修改/etc/hosts添加127.0.0.1 notary-server（docker-machine用户替换为$(docker-machine ip) notary-server）。

构建说明

前提条件：

• Go ≥1.7.1
• 安装https://github.com/tools/godep
• 安装libtool开发头文件（Ubuntu: apt-get install libltdl-dev；CentOS: yum install libtool-ltdl-devel；Mac: brew install libtool）。

构建客户端：

sh
make client

二进制文件位于bin/notary（需在GOPATH的src/github.com/docker/notary路径下）。

构建服务器与签名者：

sh
docker-compose build

安全说明

详情见服务架构文档的威胁模型。最近审计于2015年7月由NCC完成，结果可查。漏洞报告至***。