Sigstore und signierte Software

Kurz: Sigstore ist ein Projekt, das das Signieren von Software und Containern einfach und kostenlos macht, ohne dass man dauerhafte Schlüssel verwalten muss.

Genauer: Eine Signatur beweist, wer ein Programm gebaut hat und dass es seither unverändert ist. Bisher scheiterte das oft an der Schlüsselverwaltung.

Im Detail

• Cosign: Signiert Container-Images und Dateien und prüft Signaturen.
• Keyless: Man meldet sich per OIDC (zum Beispiel mit GitHub) an. Die Zertifizierungsstelle Fulcio stellt ein kurzlebiges Zertifikat für diese Identität aus, und nach dem Signieren wird der Schlüssel verworfen.
• Rekor: Ein öffentliches, manipulationssicheres Protokoll („Transparenzlog”), in dem jede Signatur festgehalten wird. So lässt sich später nachweisen, dass sie zum Zeitpunkt gültig war.
• Zusammenhang: Gegen Angriffe auf die Lieferkette. Ergänzt SBOMs (Stücklisten der Bestandteile) und den Standard SLSA, der Stufen für Build-Vertrauen beschreibt.
• Einsatz: Kubernetes-Richtlinien können nur signierte Images zulassen. npm und PyPI zeigen Herkunftsnachweise („Provenance”).
• Grenze: Eine Signatur sagt, wer gebaut hat, nicht dass die Software fehlerfrei ist.

Siehe auch: Reproduzierbare Builds