Sigstore
Open source supply-chain-signering — signera artefakter (containers, packages, files) med OIDC-identitet istället för långlivade nyckelpar. Linux Foundation 2021.
Tre komponenter: Fulcio (CA som utfärdar kortlivade certifikat från OIDC-tokens), Rekor (transparency log med Merkle tree över alla signaturer), Cosign (CLI och bibliotek). Gratis publika instanser drivs av Linux Foundation.
Driver Kubernetes-release-signering, npm provenance, PyPI Trusted Publishers, Homebrew, GitHub Container Registry. Centralt för SLSA-compliance.