Sigstore і підписане ПЗ

Коротко: Sigstore — проєкт, що робить підписування програмного забезпечення та контейнерів простим і безкоштовним, без потреби керувати довгоживучими ключами.

Докладніше: Підпис доводить, хто зібрав програму і що відтоді вона не змінювалася. Досі це часто впиралося в керування ключами.

Подробиці

• Cosign: Підписує образи контейнерів і файли та перевіряє підписи.
• Keyless: Ви входите через OIDC (наприклад, з GitHub). Центр сертифікації Fulcio видає короткоживучий сертифікат для цієї особи, а після підписання ключ відкидається.
• Rekor: Публічний журнал із захистом від підробки («журнал прозорості»), що фіксує кожен підпис. Так пізніше можна довести, що він був чинний у той момент.
• Контекст: Проти атак на ланцюжок постачання. Доповнює SBOM (специфікації компонентів) і стандарт SLSA, що описує рівні довіри до збирання.
• Застосування: Політики Kubernetes можуть допускати лише підписані образи. npm і PyPI показують підтвердження походження («provenance»).
• Межа: Підпис каже, хто зібрав, а не що ПЗ вільне від дефектів.

Див. також: відтворювані збірки