Sigstore / cosign
Otwarty ekosystem (Linux Foundation/OpenSSF) do podpisywania i weryfikacji artefaktów oprogramowania — obrazów kontenerów, plików binarnych, pakietów. cosign to narzędzie; przełomem jest „keyless signing”: podpisujesz własną tożsamością (OIDC) zamiast zarządzać długowiecznymi kluczami prywatnymi.
Problem: podpisywanie kodu jest stare, ale kłopotliwe — tworzenie, ochrona i rotacja kluczy prywatnych jest tak upierdliwa, że większość z niego rezygnowała. Przełom Sigstore: podpisywanie bez kluczy — logujesz się istniejącym kontem OIDC (GitHub, Google), dostajesz od urzędu certyfikacji Sigstore (Fulcio) krótkotrwały certyfikat jednorazowy, podpisujesz, a całość trafia do publicznego, niezmiennego dziennika przejrzystości (Rekor). Nie ma klucza prywatnego, który mógłby wyciec. Weryfikacja sprawdza podpis względem dziennika. Zastosowanie: podpisywanie obrazów kontenerów w CI, aby odbiorcy mogli sprawdzić, że pochodzą z właściwego źródła i nie zostały zmanipulowane (kontrolery admission w Kubernetesie mogą wymagać podpisanych obrazów). To praktyczne narzędzie, dzięki któremu SLSA provenance i podpisany łańcuch dostaw są wykonalne. Filar nowoczesnego ruchu na rzecz bezpieczeństwa łańcucha dostaw. Powiązane z SLSA i SBOM.