Claimed or Attested? A Commit-Signature Dataset and Identity Trust Tiers across the World of Code

Resumen Técnico: ¿Reclamado o Atestiguado? Un conjunto de datos de firmas de commits e niveles de confianza de identidad a través del mundo del código

Planteamiento del problema
La resolución de identidad en los repositorios de software globales (como el World of Code, o WoC) depende tradicionalmente de cadenas de autoría "reclamadas". El campo de autor en un commit de Git es un texto libre elegido por el autor del commit, lo que no ofrece verificación criptográfica. En consecuencia, los sistemas de desambiguación deben basarse en heurísticas (coocurrencia de nombres, correos electrónicos y logins) para determinar si dos cadenas representan a la misma persona. Este enfoque sufre de un "punto ciego": no puede distinguir entre un autor legítimo y un impostor que reutiliza una cadena de vanidad (por ejemplo, "root" o un nombre famoso). Esto crea un eslabón débil al intentar unir los datos de autoría de software con los datos de autoría académica, donde esta última se basa en nombres reales y reputación.

Metodología
Los autores proponen extraer y analizar las firmas criptográficas ya presentes en los objetos de commit de Git para crear un eje de identidad "atestiguada".

• Estrategia de extracción de datos: El artículo aprovecha la estructura existente de la colección WoC V2604. Git coloca un encabezado gpgsig entre la línea del autor del commit y el mensaje del commit. El generador de tablas de WoC añade este bloque de encabezado al campo message de las tablas de commits. Por lo tanto, los autores extraen las firmas escaneando las tablas c2datFull existentes (128 fragmentos) en busca de marcadores de encabezado específicos (gpgsig, BEGIN PGP SIGNATURE, etc.), en lugar de volver a leer o descomprimir la base de datos de objetos crudos.
• Familias de firmas: La extracción identifica tres tipos de firmas:
  1. PGP: El formato dominante, que contiene un ID de clave emisor.
  2. SSH: Embebe la clave pública, lo que permite la derivación de la huella digital sin acceso a la red.
  3. X.509 / Sigstore: Utiliza certificados de corta duración (por ejemplo, Fulcio) vinculados a identidades OIDC verificadas.
• Grafo Clave-a-Identidad (Puerta de Fanout): Para distinguir entre la clave privada de una persona y las claves compartidas (por ejemplo, el flujo web de GitHub, CI/CD o claves de despliegue de organizaciones), los autores aplican una "puerta de fanout" (puerta de dispersión). Las claves que firman commits para más de 50 cadenas de autoría distintas se clasifican como claves compartidas u organizacionales y se excluyen del anclaje de identidad de la persona.
• Construcción de niveles de confianza: Basándose en las "claves de persona" filtradas, los autores construyen un sistema de niveles de atestación A2trust que extiende el conjunto de datos de clase de identidad A2cls existente:
  • T0: Sin firma (Solo reclamo).
  • T1: Firmado por una clave consistente con un único poseedor de la clave (Firmado por la plataforma).
  • T2: Firmado por una clave con un vínculo en el mundo real (Email de usuario-ID de PGP, clave SSH vinculada a GitHub, o sujeto X.509/OIDC).
  • T3: Atestiguado en múltiples corpus (La clave o la identidad se resuelve con un autor académico u ORCID).

Contribuciones clave
El artículo lanza un paquete de replicación autónomo vinculado a la colección WoC V2604, que contiene:

1. c2sigFull: Un mapa de firmas por commit que etiqueta 1.031.721.316 commits firmados con su familia de firmas (PGP, SSH o X.509).
2. key2A / A2key: Un grafo de clave-a-identidad con puerta de control que separa las claves de personas de las claves de organización/CI compartidas.
3. A2trust: Un mapa de niveles de atestación por identidad (T0–T3) que proporciona un eje de confianza ortogonal a las clasificaciones existentes de desarrollador/bot.
4. Oro de alias criptográfico: Un conjunto de pares de cadenas de autor co-firmados por la misma clave de persona, utilizado para calibrar el mapa de alias heurístico de WoC de forma independiente a los pares etiquetados a mano.
5. Puente bibliográfico: Un mecanismo para elevar los enlaces de identidad ciencia-software de coincidencias de nombres a anclajes criptográficos donde una clave de firma se resuelve con un autor académico.

Resultados

• Prevalencia: De los 5.866.595.698 commits en V2604, el 17,59% (aprox. 1.030 millones) portan una firma. PGP domina (98,96%), seguido de SSH (1,02%) y X.509/sigstore (0,02%).
• Sesgo de selección: Los firmantes están fuertemente concentrados en la clase "buena/desarrollador" (99,52% de los firmantes frente al get baseline del corpus del 94,37%). Las clases de baja calidad (bots, IDs locales) están significativamente subrepresentadas entre los firmantes. El artículo establece explícitamente que el eje de la firma es un "ancla de precisión", no una capa de cobertura.
• Calibración del mapa de alias: Utilizando el "oro criptográfico" (pares co-firmados), los autores encontraron que el mapa de alias heurístico pierde un número significativo de fusiones reales para claves de bajo fanout (el recall fue del 63% para claves de fanout-2). Sin embargo, muchos de los aparentes "errores" eran en realidad identidades distintas que compartían una sola clave, las cuales el mapa mantuvo separadas correctamente.
• Detección de suplantación: El conjunto de datos identifica "cadenas de vanidad" midiendo la dispersión de las claves. Las cadenas firmadas por muchas claves distintas (por ejemplo, >20 claves) son marcadas como de alta dispersión, probablemente identidades suplantadas o espejadas. Esto reemplaza las listas de exclusión codificadas por mano con detección basada en evidencia.
• Distribución de la confianza: De los 62,5 millones de autores canónicos, el 49% no tiene firma (T0), el 50,3% solo tiene firma de la plataforma (T1) y solo el 0,74% posee una atestación de clave de persona (T2).
• Enlaces entre corpus: En una muestra de 10.021 enlaces de identidad ciencia-software, el 12% (1.207 aristas) fueron elevados a estatus T2/T3, ganando una procedencia criptográfica.

Significado y afirmaciones
El artículo afirma proporcionar el primer eje de firmas de commit para un corpus global, transformando la resolución de identidad de un proceso puramente heurístico a uno basado en la atestación criptográfica siempre que sea posible.

• Precisión sobre Cobertura: Los autores enfatizan que el conjunto de datos no cubre todo el corpus, sino que sirve como una capa de validación de alta precisión. Calibra el mapa de alias heurístico e identifica qué identidades conllevan una garantía más fuerte que un nombre escrito.
• Vinculación defendible: Permite una unión "defendible" entre la autoría científica y la de software, yendo más allá de la coincidencia de nombres hacia anclajes criptográficos para un subconjunto de enlaces de alta confianza.
• Mitigación de la suplantación: Ofrece un método para detectar la suplantación en cadenas de vanidad mediante el análisis de la dispersión de claves, reemplazando la curación manual con pruebas basadas en datos.
• Replicabilidad: Todos los artefactos se liberan como un paquete autónomo, lo que permite la verificación independiente y la integración en estudios existentes a escala de WoC sin necesidad de acceder a la base de datos de objetos crudos.