Sigstore / cosign
Un ecosistema de código abierto (Linux Foundation/OpenSSF) para firmar y verificar artefactos de software — imágenes de contenedor, binarios, paquetes. cosign es la herramienta; lo revolucionario es la "firma sin claves" ("keyless signing"): firmas con tu identidad (OIDC) en lugar de gestionar claves privadas de larga duración.
El problema: firmar código es algo antiguo pero engorroso — crear, proteger y rotar claves privadas de firma es tan complicado que la mayoría se lo saltaba directamente. El avance de Sigstore es la firma sin claves: te autenticas con una cuenta OIDC que ya tienes (GitHub, Google), recibes un certificado de un solo uso y vida corta de la CA de Sigstore (Fulcio), firmas, y todo queda registrado en un log de transparencia público e inmutable (Rekor). No hay ninguna clave privada que filtrar ni mantener. La verificación comprueba la firma contra ese registro de transparencia. Caso de uso: firmar imágenes de contenedor en CI para que quienes las consumen puedan verificar que vienen de la fuente correcta y no han sido manipuladas (los admission controllers de Kubernetes pueden exigir imágenes firmadas). Es la herramienta práctica que hace viable la procedencia SLSA y una cadena de entrega firmada. Una piedra angular del movimiento moderno de seguridad de la cadena de suministro.