Sigstore machte Codesignierung nutzbar, indem es langlebige Schlüssel abschaffte

Open-Source-Signierung hatte eine Usability-Falle: Langlebige Schlüssel mussten erstellt, geschützt, rotiert, veröffentlicht und vertraut werden. Die Ankündigung der Linux Foundation von 2021 stellte fest, dass nur sehr wenige Open-Source-Projekte Release-Artefakte signierten, vor allem weil Schlüsselverwaltung und Verifikation zu schwierig waren.

Sigstores kluger Schachzug bestand darin, Identität und Transparenz die Arbeit machen zu lassen. Ein Maintainer oder ein CI-System weist gegenüber Fulcio eine OIDC-Identität nach, erhält ein kurzlebiges Zertifikat, signiert einmal, verwirft den privaten Schlüssel und hinterlässt einen öffentlichen Rekor-Eintrag, den Verifizierer später prüfen können.

Das verwandelte Signierung von einem privaten Ritual des Umgangs mit Geheimnissen in eine öffentliche Beweiskette. Das Projekt wird von der OpenSSF unter der Linux Foundation unterstützt und bleibt kostenlos und quelloffen, mit Werkzeugen für Releases, Container, Binärdateien, SBOMs und Attestierungen.

Schlüsselverwahrung durch protokollierte Identität ersetzen

Kurzlebige Schlüssel beseitigten die operative Last, die Maintainer davon abhielt, Releases zu signieren.

OIDC nutzte Identitäten wieder, die Entwickler und CI-Systeme bereits hatten, statt ein weiteres Kontosystem zu schaffen.

Rekor machte Signierungsereignisse öffentlich prüfbar, sodass Vertrauen nicht in einer README oder einem Keyserver verborgen war.

Kostenlose Gemeinwohl-Infrastruktur machte die Einführung für kleine Open-Source-Projekte günstig.

Ein Sicherheitsstandard verbreitet sich schneller, wenn er die schwierigste Zeremonie beseitigt, statt von jedem Maintainer zu verlangen, ein Experte für Schlüsselverwaltung zu werden.

Sigstore wurde zu einem zentralen Baustein der Software-Lieferkette. Sein Muster verbindet sich heute mit Cosign, Fulcio, Rekor, SBOMs und in-toto-Attestierungen und gibt Paketkonsumenten eine verifizierbare Herkunftsspur, ohne Maintainer zu zwingen, dauerhafte Signaturschlüssel zu schützen.