Sigstore / cosign
Ecossistema de código aberto (Linux Foundation/OpenSSF) para assinar e verificar artefatos de software: imagens de contêiner, binários, pacotes. O cosign é a ferramenta; a virada é a "assinatura keyless": você assina com a sua identidade (OIDC) em vez de administrar chaves privadas de longa duração.
O problema: assinatura de código é coisa antiga, mas trabalhosa. Criar, proteger e rotacionar chaves privadas de assinatura é tão chato que a maioria simplesmente não assinava. A virada do Sigstore: assinatura keyless. Você se autentica com uma conta OIDC existente (GitHub, Google), recebe da CA do Sigstore (Fulcio) um certificado efêmero de uso único, assina, e tudo fica registrado num log de transparência público e imutável (Rekor). Nenhuma chave privada para vazar ou gerenciar. A verificação confere a assinatura contra o log de transparência. Caso de uso: assinar imagens de contêiner no CI para que os consumidores verifiquem que elas vêm da origem certa e não foram adulteradas (admission controllers no Kubernetes podem exigir imagens assinadas). É a ferramenta prática que torna viáveis a proveniência SLSA e uma cadeia de entrega assinada. Pedra angular do movimento moderno de segurança da cadeia de suprimentos. Relacionado ao SLSA e ao SBOM.