Sigstore hizo que la firma de código fuera usable eliminando las claves de larga duración

La firma de código abierto tenía una trampa de usabilidad: había que crear, proteger, rotar, publicar y confiar en claves de larga duración. El anuncio de la Linux Foundation de 2021 señalaba que muy pocos proyectos de código abierto firmaban los artefactos de sus versiones, en gran medida porque la gestión de claves y la verificación eran demasiado difíciles.

El movimiento ingenioso de Sigstore fue hacer que la identidad y la transparencia hicieran el trabajo. Un mantenedor o un sistema de CI demuestra una identidad OIDC ante Fulcio, recibe un certificado de corta duración, firma una vez, descarta la clave privada y deja una entrada pública en Rekor que los verificadores pueden auditar más tarde.

Eso transformó la firma de un ritual privado de manejo de secretos en un rastro público de evidencia. El proyecto está respaldado por OpenSSF bajo la Linux Foundation y sigue siendo gratuito y de código abierto, con herramientas para versiones, contenedores, binarios, SBOM y atestaciones.

Reemplazar la custodia de claves por una identidad registrada

Las claves efímeras eliminaron la carga operativa que impedía a los mantenedores firmar sus versiones.

OIDC reutilizó las identidades que los desarrolladores y los sistemas de CI ya tenían, en lugar de crear otro sistema de cuentas.

Rekor hizo que los eventos de firma fueran auditables públicamente, de modo que la confianza no quedara oculta en un README ni en un servidor de claves.

La infraestructura pública y gratuita de bien común abarató la adopción para los pequeños proyectos de código abierto.

Un estándar de seguridad se difunde más rápido cuando elimina la ceremonia más difícil en lugar de pedirle a cada mantenedor que se convierta en experto en gestión de claves.

Sigstore se convirtió en un componente básico de la cadena de suministro de software. Su patrón ahora se conecta con Cosign, Fulcio, Rekor, SBOM y atestaciones in-toto, lo que ofrece a los consumidores de paquetes un rastro de origen verificable sin obligar a los mantenedores a proteger claves de firma permanentes.