Sigstore
Assinatura de cadeia de suprimentos de software em código aberto: artefatos (contêineres, pacotes, arquivos) são assinados com identidades OIDC, sem pares de chaves de longa duração. Linux Foundation, 2021.
Três componentes: Fulcio (CA que emite certificados de curta duração a partir de tokens OIDC), Rekor (log de transparência com uma árvore de Merkle sobre todas as assinaturas) e Cosign (CLI e biblioteca). As instâncias públicas e gratuitas são operadas pela Linux Foundation.
Está por trás da assinatura de releases do Kubernetes, do npm provenance, do PyPI Trusted Publishers, do Homebrew e do GitHub Container Registry. É peça central para conformidade com SLSA.