Signering af dependencies og artefakter

En digital signatur bruger en privat nøgle til at signere artefaktets hashværdi. Alle, der har den tilsvarende offentlige nøgle, kan verificere den. Det giver to garantier:

• Integritet — artefaktet blev ikke ændret efter signeringen
• Autenticitet — det blev signeret af indehaveren af den private nøgle

Det svære er ikke matematikken, men nøglehåndtering og distribution af tillid: Hvordan ved en verifikator, hvilken offentlig nøgle der er tillid til?

Traditionel signering tvinger teams til at beskytte langlivede private nøgler, som kan lække. Sigstore tilbyder nøglefri signering: Den udsteder et kortlivet certifikat, der er knyttet til en OIDC-identitet (f.eks. en CI-arbejdsbelastning eller en udviklers e-mailadresse), signerer og registrerer hændelsen i en offentlig transparenslog med navnet Rekor.

Der er ingen langlivet nøgle, der kan stjæles, og alle signaturer kan revideres offentligt.

Cosign er Sigstore-værktøjet til signering af containerimages og andre artefakter. I nøglefri tilstand bruger det byggeforløbets OIDC-token, så ingen nøglefil ligger på disken.

Sigstore registrerer hver signeringshændelse i Rekor, en manipulationssikker, offentlig log, hvor der kun kan tilføjes poster. Det er en effektiv kontrol til at opdage hændelser:

• Du kan bevise, hvornår noget blev signeret
• En angriber, der stjæler en identitet, kan ikke signere hemmeligt — hændelsen logges offentligt
• Usædvanlige signaturer (uventet identitet, uden for arbejdstid) bliver mulige at opdage

Transparens gør et skjult kompromis til observerbare beviser.

SLSA (Supply-chain Levels for Software Artifacts) er en ramme, der vurderer, hvor troværdig din byggeproces er. Højere niveauer kræver stærkere garantier mod manipulation.

• L1 — proveniens findes og er dokumenteret
• L2 — signeret proveniens fra en hostet byggetjeneste
• L3 — hærdede, isolerede builds; proveniens kan ikke forfalskes, heller ikke af en insider i byggeforløbet

SLSA er en køreplan: Vælg et målniveau, og luk hullerne.

En proveniensattestering er en signeret erklæring, der beskriver, hvordan et artefakt blev bygget: kildecommit, byggeridentitet, byggeparametre og inddata. Formatet in-toto standardiserer dette.

Signering er kun nyttig, hvis noget afviser usignerede artefakter. I Kubernetes kan en optagelseskontroller blokere alle images, der mangler en gyldig signatur og proveniens fra din betroede identitet.

• Politikkontrollere verificerer cosign-signaturer, før en pod starter
• Afvis images, der er signeret af uventede identiteter
• Kræv proveniens, der peger på dit godkendte kildekodelager

Det lukker kredsløbet: Ubetroede artefakter kører aldrig.

Proveniens er mest værdifuld, når den også omfatter det, du forbruger, og ikke kun det, du leverer. Økosystemer tilføjer indbygget signering og proveniens:

• npm-proveniens knytter en udgivet pakke til dens kildecommit og CI-kørsel
• Containerbasisbilleder leveres i stigende grad med cosign-signaturer
• Sprogregistre afprøver Sigstore-baseret verifikation

Foretræk afhængigheder, der offentliggør verificerbar proveniens, og verificér den under installation, hvor det understøttes.

En praktisk signeringsstrategi er lagdelt og verificeret fra ende til anden:

• Fastlås inddata med en digest
• Signér artefakter nøglefrit, og tilknyt SBOM- samt proveniensattesteringer
• Registrér alt i en transparenslog
• Håndhæv verifikation under udrulning med en optagelsespolitik

Kæden er kun så stærk som sit svageste unverificerede led, så verificér ved hvert sted, hvor den bruges.

Du har lært at bevise proveniens og håndhæve den.

• Fastlås med en digest, ikke med foranderlige tags
• Digitale signaturer giver integritet og autenticitet; udfordringen er nøglehåndtering
• Sigstore + cosign muliggør nøglefri signering med en offentlig Rekor-transparenslog
• SLSA vurderer byggeintegritet; proveniensattesteringer registrerer, hvordan artefakter blev bygget
• Optagelsespolitikker afviser alt, der er usigneret eller ubetroet, under udrulningen

Næste emne: hærdning af det CI/CD-byggeforløb, der producerer disse artefakter.