Sigstore и подписанное ПО

Коротко: Sigstore — проект, делающий подпись программного обеспечения и контейнеров простой и бесплатной, без необходимости управлять долгоживущими ключами.

Подробнее: Подпись доказывает, кто собрал программу и что с тех пор она не менялась. До сих пор это часто упиралось в управление ключами.

Подробности

• Cosign: Подписывает образы контейнеров и файлы и проверяет подписи.
• Keyless: Вы входите через OIDC (например, с GitHub). Удостоверяющий центр Fulcio выдаёт короткоживущий сертификат для этой личности, а после подписания ключ отбрасывается.
• Rekor: Публичный журнал с защитой от подделки («журнал прозрачности»), фиксирующий каждую подпись. Так позже можно доказать, что она была действительна в тот момент.
• Контекст: Против атак на цепочку поставок. Дополняет SBOM (спецификации компонентов) и стандарт SLSA, описывающий уровни доверия к сборке.
• Применение: Политики Kubernetes могут допускать только подписанные образы. npm и PyPI показывают подтверждения происхождения («provenance»).
• Предел: Подпись говорит, кто собрал, а не что ПО свободно от дефектов.

См. также: воспроизводимые сборки