Sigstoreは長期間有効な鍵を廃止することでコード署名を実用的にした

オープンソースの署名には使いやすさの罠があった。長期間有効な鍵を作成し、保護し、ローテーションし、公開し、信頼しなければならなかった。Linux Foundationの2021年の発表によれば、リリース成果物に署名しているオープンソースプロジェクトはごくわずかであり、その主な理由は鍵管理と検証が難しすぎることだった。

Sigstoreの巧妙な一手は、アイデンティティと透明性にその役割を担わせたことだった。メンテナーまたはCIシステムはFulcioに対してOIDCアイデンティティを証明し、短命な証明書を受け取り、一度署名し、秘密鍵を破棄し、検証者が後から監査できる公開Rekorエントリを残す。

これにより署名は、秘密を扱う私的な儀式から、公開された証拠の記録へと変わった。このプロジェクトはLinux Foundationの下でOpenSSFに支えられており、無料かつオープンソースのままである。リリース、コンテナ、バイナリ、SBOM、アテステーション向けのツールを備えている。

鍵の保管を、記録されたアイデンティティに置き換えた

短命な鍵は、メンテナーがリリースへの署名をためらわせていた運用上の負担を取り除いた。

OIDCは、別のアカウント体系を新設するのではなく、開発者やCIシステムがすでに持っていたアイデンティティを再利用した。

Rekorは署名イベントを公開監査可能にしたため、信頼がREADMEや鍵サーバーの中に隠れることはなくなった。

無料の公共財インフラにより、小規模なオープンソースプロジェクトにとって導入コストが低くなった。

セキュリティ標準は、すべてのメンテナーに鍵管理の専門家になることを求めるのではなく、最も難しい儀式を取り除くときに、より速く普及する。

Sigstoreはソフトウェアサプライチェーンの核となる構成要素になった。そのパターンは現在、Cosign、Fulcio、Rekor、SBOM、in-totoアテステーションと結びつき、メンテナーに恒久的な署名鍵の保護を強いることなく、パッケージの利用者に検証可能な出所の記録を提供している。