Sigstore ve imzalı yazılım

Kısaca: Sigstore, yazılım ve konteynerleri imzalamayı, uzun ömürlü anahtarlar yönetmek zorunda kalmadan basit ve ücretsiz kılan bir projedir.

Biraz daha ayrıntılı: Bir imza, bir programı kimin derlediğini ve o günden beri değişmediğini kanıtlar. Şimdiye dek bu çoğu zaman anahtar yönetiminde tıkanıyordu.

Ayrıntılı

• Cosign: Konteyner imajlarını ve dosyaları imzalar, imzaları doğrular.
• Keyless: OIDC ile (örneğin GitHub ile) oturum açarsın. Fulcio sertifika yetkilisi bu kimlik için kısa ömürlü bir sertifika verir ve imzalandıktan sonra anahtar atılır.
• Rekor: Her imzayı kaydeden, kurcalamaya karşı görünür, herkese açık bir günlük (“şeffaflık günlüğü”). Bu, imzanın o anda geçerli olduğunu sonradan kanıtlar.
• Bağlam: Tedarik zinciri saldırılarına karşı. SBOM’ları (bileşenlerin malzeme listeleri) ve yapı güveni düzeylerini tanımlayan SLSA standardını tamamlar.
• Kullanım: Kubernetes ilkeleri yalnızca imzalı imajlara izin verebilir. npm ve PyPI köken belgelerini (“provenance”) gösterir.
• Sınır: Bir imza kimin derlediğini söyler, yazılımın kusursuz olduğunu değil.

Ayrıca bak: Tekrarlanabilir derlemeler