Sigstore / cosign
Een opensource-ecosysteem (Linux Foundation/OpenSSF) voor het ondertekenen en verifiëren van softwareartefacten: containerimages, binaries, pakketten. cosign is het gereedschap; de doorbraak is "keyless signing": je tekent met je identiteit (OIDC) in plaats van langlevende private sleutels te beheren.
Code signing is oud maar omslachtig: private ondertekeningssleutels aanmaken, beschermen en roteren is zo lastig dat velen het oversloegen. Bij Sigstore log je in met een bestaand OIDC-account (GitHub, Google), krijg je van de CA van Sigstore (Fulcio) een kortlevend certificaat, onderteken je, en wordt alles vastgelegd in een openbaar, onveranderlijk transparantielog (Rekor). Er is geen private sleutel die kan lekken. Praktisch gebruik: containerimages ondertekenen in CI, zodat afnemers kunnen controleren dat ze van de juiste bron komen; admission controllers in Kubernetes kunnen ondertekende images afdwingen.