Sigstore 透過刪除長效金鑰，讓程式碼簽章變得易用

開源簽章過去存在易用性陷阱：長效金鑰必須被建立、保護、輪替、發布並受到信任。Linux 基金會在 2021 年的公告指出，極少開源專案會為發布產物簽章，主因是金鑰管理與驗證太過困難。

Sigstore 的巧妙之舉，是讓身分與透明度來承擔這項工作。維護者或 CI 系統向 Fulcio 證明 OIDC 身分，取得短效憑證，簽章一次，丟棄私鑰，並留下一筆公開的 Rekor 紀錄，供驗證者日後稽核。

這讓簽章從私密的祕密處理儀式，轉變為公開的證據軌跡。該專案由 Linux 基金會下的 OpenSSF 支持，維持免費且開源，並提供用於發布產物、容器、二進位檔、SBOM 與證明的工具。

以留下紀錄的身分取代金鑰保管

短效金鑰移除了讓維護者不願為發布產物簽章的營運負擔。

OIDC 重用了開發者與 CI 系統既有的身分，而非另建一套帳號系統。

Rekor 讓簽章事件可公開稽核，因此信任不再隱藏於 README 或金鑰伺服器中。

免費的公益基礎設施讓小型開源專案能以低廉成本採用。

當安全標準移除最困難的儀式，而非要求每位維護者都成為金鑰管理專家時，它會傳播得更快。

Sigstore 成為軟體供應鏈的核心建構元件。其模式如今與 Cosign、Fulcio、Rekor、SBOM 及 in-toto 證明相互連結，讓套件取用者能取得可驗證的來源軌跡，而不必強迫維護者保護永久簽章金鑰。