Sigstore / cosign
Yazılım yapıtlarını — konteyner imajları, ikili dosyalar, paketler — imzalamak ve doğrulamak için açık kaynaklı bir ekosistem (Linux Foundation/OpenSSF). cosign aracın adıdır; atılım “anahtarsız imzalama”dır: uzun ömürlü özel anahtarları yönetmek yerine kimliğinizle (OIDC) imzalarsınız.
Sorun: kod imzalama eskidir ama zahmetlidir — özel imza anahtarlarını üretmek, korumak ve döndürmek o kadar uğraştırıcıdır ki çoğu kişi atlıyordu. Sigstore’un çözümü anahtarsız imzalama: mevcut bir OIDC hesabıyla (GitHub, Google) kimlik doğrularsınız, Sigstore’un CA’sından (Fulcio) kısa ömürlü, tek kullanımlık bir sertifika alırsınız, imzalarsınız ve her şey herkese açık, değiştirilemez bir şeffaflık günlüğüne (Rekor) kaydedilir. Sızabilecek ya da yönetilecek özel anahtar yoktur. Doğrulama, imzayı şeffaflık günlüğüne karşı denetler.
Kullanım: CI’da konteyner imajlarını imzalamak; tüketiciler imajların doğru kaynaktan geldiğini ve kurcalanmadığını doğrulayabilir (Kubernetes admission controller’ları imzalı imaj şart koşabilir). SLSA kaynak izini ve imzalı teslimat zincirini pratik kılan araçtır; modern tedarik zinciri güvenliği hareketinin köşe taşıdır.