Sigstore는 장기 키를 없애 코드 서명을 사용 가능하게 만들었다

오픈소스 서명에는 사용성 함정이 있었다. 장기 키를 생성하고, 보호하고, 교체하고, 공개하고, 신뢰해야 했다. 리눅스 재단의 2021년 발표에 따르면 릴리스 아티팩트에 서명하는 오픈소스 프로젝트는 극소수였는데, 주로 키 관리와 검증이 너무 어려웠기 때문이다.

Sigstore의 영리한 전환은 신원과 투명성이 그 일을 하도록 만든 것이었다. 유지관리자나 CI 시스템이 Fulcio에 OIDC 신원을 증명하고, 단기 인증서를 받고, 한 번 서명하고, 개인 키를 폐기하며, 검증자가 나중에 감사할 수 있는 공개 Rekor 항목을 남긴다.

이는 서명을 비밀을 다루는 사적인 의식에서 공개적인 증거 흔적으로 바꿨다. 이 프로젝트는 리눅스 재단 산하 OpenSSF의 지원을 받으며 무료 오픈소스로 유지되고, 릴리스, 컨테이너, 바이너리, SBOM 및 증명(attestation)을 위한 도구를 갖추고 있다.

키 보관을 기록된 신원으로 대체

단명 키는 유지관리자가 릴리스에 서명하지 못하게 만들던 운영 부담을 제거했다.

OIDC는 또 다른 계정 체계를 만드는 대신 개발자와 CI 시스템이 이미 가진 신원을 재사용했다.

Rekor는 서명 이벤트를 공개적으로 감사 가능하게 만들어, 신뢰가 README나 키서버에 숨겨지지 않게 했다.

무료 공공재 인프라는 소규모 오픈소스 프로젝트의 도입 비용을 낮췄다.

보안 표준은 모든 유지관리자에게 키 관리 전문가가 되라고 요구하는 대신 가장 어려운 의식을 제거할 때 더 빨리 확산된다.

Sigstore는 소프트웨어 공급망의 핵심 구성 요소가 되었다. 그 패턴은 이제 Cosign, Fulcio, Rekor, SBOM 및 in-toto 증명과 연결되어, 유지관리자에게 영구 서명 키 보호를 강요하지 않으면서도 패키지 소비자에게 검증 가능한 출처 흔적을 제공한다.