Image Signing Cosign

Définition

Cosign est un outil open source de la CNCF (Cloud Native Computing Foundation) appartenant au projet Sigstore, dédié à la signature et à la vérification cryptographique d'images de containers (OCI artifacts). Cosign permet aux équipes DevSecOps de signer les images Docker avec une clé privée ou via le mode keyless (sans gestion de clé privée, via une identité OIDC), et de vérifier ces signatures avant tout déploiement, garantissant que seules les images produites par des pipelines autorisés peuvent être déployées en production. La signature d'images containers répond à un risque fondamental de la supply chain logicielle : sans signature, rien n'empêche un attaquant ayant accès au registre de conteneurs de remplacer une image légitime par une image malveillante, ou un développeur de pousser manuellement une image non validée directement en production, contournant les pipelines CI. La vérification de signature à l'admission (via des policies OPA/Kyverno ou des admission controllers) garantit que seules les images signées et vérifiées peuvent être démarrées dans le cluster Kubernetes. Le mode keyless de Cosign (Sigstore keyless signing) est la méthode recommandée pour les pipelines CI : au lieu d'une clé privée stockée comme secret CI, le pipeline s'authentifie via un token OIDC (GitHub Actions, GitLab CI, Google Cloud Build fournissent ces tokens), obtient un certificat éphémère de courte durée (5 minutes) de Sigstore Fulcio, signe l'image avec ce certificat, et publie l'entrée de signature dans le Rekor transparency log public. Cette approche élimine la gestion des clés privées tout en garantissant la traçabilité via le transparency log public. La vérification des signatures Cosign s'effectue avec cosign verify --certificate-identity ou --key selon le mode de signature. L'intégration dans Kubernetes se fait via des admission controllers : policy-controller (Sigstore), Kyverno, ou Gatekeeper avec des policies de vérification de signature.