Sigstore
Open-Source-Signierung für die Software-Lieferkette – Artefakte (Container, Pakete, Dateien) mit OIDC-Identität statt langlebigem Schlüsselpaar signieren. Linux Foundation, 2021.
Drei Komponenten: Fulcio (eine CA, die kurzlebige Zertifikate aus OIDC-Tokens ausstellt), Rekor (ein Transparency Log mit Merkle-Baum über alle Signaturen) und Cosign (CLI und Bibliothek). Kostenlose öffentliche Instanzen werden von der Linux Foundation betrieben.
Treibt Kubernetes-Release-Signierung, npm-Provenance, PyPI Trusted Publishers, Homebrew und die GitHub Container Registry an. Zentral für SLSA-Compliance.