Sigstore 通过取消长期密钥让代码签名变得可用

开源签名曾面临可用性陷阱：长期密钥必须被创建、保护、轮换、发布并受到信任。Linux 基金会 2021 年的公告称，极少数开源项目会对发布产物进行签名，主要原因是密钥管理和验证过于困难。

Sigstore 的巧妙之处在于让身份和透明度发挥作用。维护者或 CI 系统向 Fulcio 证明 OIDC 身份，获得短期证书，签名一次，丢弃私钥，并留下可供验证者日后审计的公开 Rekor 条目。

这将签名从私密的密钥处理仪式转变为公开的证据链。该项目由 Linux 基金会下的 OpenSSF 支持，保持免费和开源，并提供用于发布、容器、二进制文件、SBOM 和证明的工具。

用记录在日志中的身份取代密钥保管

临时密钥消除了使维护者不愿为发布签名的那一运营负担。

OIDC 复用了开发者和 CI 系统已有的身份，而不是另建一套账户体系。

Rekor 使签名事件可被公开审计，因此信任不再隐藏在 README 或密钥服务器中。

免费的公益基础设施让小规模开源项目也能低成本采用。

当一项安全标准消除最繁琐的仪式，而不是要求每位维护者都成为密钥管理专家时，它传播得更快。

Sigstore 成为软件供应链的核心构建模块。其模式如今与 Cosign、Fulcio、Rekor、SBOM 和 in-toto 证明相结合，为软件包使用者提供可验证的来源链，而无需迫使维护者保护永久签名密钥。