Sigstore a rendu la signature de code utilisable en supprimant les clés de longue durée

La signature open source comportait un piège d'utilisabilité : il fallait créer, protéger, faire tourner, publier et approuver des clés de longue durée. L'annonce de la Linux Foundation en 2021 indiquait que très peu de projets open source signaient leurs artefacts de version, en grande partie parce que la gestion des clés et la vérification étaient trop difficiles.

L'astuce de Sigstore a été de faire porter le travail par l'identité et la transparence. Un mainteneur ou un système d'IC prouve une identité OIDC auprès de Fulcio, reçoit un certificat de courte durée, signe une fois, jette la clé privée et laisse une entrée publique dans Rekor que les vérificateurs pourront auditer plus tard.

Cela a fait passer la signature d'un rituel privé de manipulation de secrets à une piste de preuves publique. Le projet est soutenu par l'OpenSSF au sein de la Linux Foundation et reste gratuit et open source, avec des outils pour les versions, les conteneurs, les binaires, les SBOM et les attestations.

Remplacer la garde des clés par une identité journalisée

Les clés éphémères ont supprimé la charge opérationnelle qui empêchait les mainteneurs de signer leurs versions.

OIDC a réutilisé les identités que les développeurs et les systèmes d'IC possédaient déjà au lieu de créer un autre système de comptes.

Rekor a rendu les événements de signature auditables publiquement, de sorte que la confiance n'était plus cachée dans un README ou un serveur de clés.

Une infrastructure de bien commun gratuite a rendu l'adoption peu coûteuse pour les petits projets open source.

Une norme de sécurité se diffuse plus vite lorsqu'elle supprime le cérémonial le plus difficile au lieu de demander à chaque mainteneur de devenir expert en gestion de clés.

Sigstore est devenu un élément constitutif essentiel de la chaîne d'approvisionnement logicielle. Son modèle s'articule désormais avec Cosign, Fulcio, Rekor, les SBOM et les attestations in-toto, offrant aux consommateurs de paquets une piste d'origine vérifiable sans forcer les mainteneurs à protéger des clés de signature permanentes.