Ho entrambi un paio di certificati X.509 Code Signing e una coppia di chiavi GPG che posso usare per firmare contro il codice che eseguo sul mio VPS. Ogni tanto scrivo codice per iOS, OS X e Windows e mi assicuro sempre di firmare i miei binari con i miei certificati X.509. Tuttavia, vorrei assicurarmi che tutto ciò che faccio sul mio VPS (per quanto riguarda gli script PHP / Django e forse anche Javascript che invio a un client) sia anch'esso firmato.
Potrei semplicemente scrivere uno script bash che firma ogni file in una directory con la mia coppia di chiavi GPG, ma il mio problema è il fatto che se il codice era non firmato, non si alza nessun ulteriore errori che se fosse stato firmato correttamente, quindi nell'interesse di proteggere il mio server dall'invio / esecuzione di script dannosi che non ho autorizzato esplicitamente, c'è un modo in cui posso usare la mia coppia di chiavi GPG (o anche i miei certificati X.509!) e ASSICURA tutto il codice in una particolare directory, per esempio è sempre controllato per una firma valida prima dell'esecuzione?
Per gettare una chiave ancora più in là nei lavori, come possiamo "sandbox" in modo efficace in modo che gli script malevoli posti al di fuori dello scopo del controllo forzato non possano interferire? Ad esempio, se una directory è stata contrassegnata come richiesta di firme applicate su tutti i file, sarebbe possibile utilizzare i file all'esterno di questa directory per eludere le firme del codice e interferire con l'applicazione o gli script?
Non sono molto interessato all'algoritmo di firma, agli script rispetto ai binari o al sistema operativo, ma per l'applicazione che applicherei a questo, sarebbe contro python / django o script PHP in esecuzione in un Debian VPS (per il scopi delle applicazioni web).
Solo un pensiero interessante, quello che mi piacerebbe sicuramente perseguire se esiste una soluzione adeguata! Le idee o le discussioni sono molto apprezzate!