Sigstore / cosign
コンテナイメージやバイナリ、パッケージといったソフトウェア成果物に署名し、検証するためのオープンソースの枠組み（Linux Foundation / OpenSSF）。cosign がそのツールで、長期間有効な秘密鍵の代わりに本人の身元（OIDC）で署名する「キーレス署名」が最大の特徴だ。
コード署名は昔からあるが、署名鍵の作成・保護・ローテーションが面倒すぎて、多くの人が省略してきた。Sigstore のキーレス署名では、GitHub や Google などの既存 OIDC アカウントで認証し、認証局 Fulcio から短命の使い捨て証明書を受け取って署名する。署名の記録は公開の改ざん不能な透明性ログ（Rekor）に残り、検証時はこのログと突き合わせる。漏らす秘密鍵も、管理する秘密鍵も存在しない。
典型的な用途は CI でのコンテナイメージへの署名で、Kubernetes のアドミッションコントローラに署名済みイメージだけを許可させることもできる。SLSA の来歴証明や署名付き配布経路を現実的にした道具であり、近年のサプライチェーンセキュリティの中核を担っている。