Sigstore

Définition

Sigstore est une infrastructure open-source de signature transparente d'artefacts logiciels — code source, images de conteneurs, binaires — développée initialement sous l'impulsion de Google, Red Hat et Purdue University, dans le but de démocratiser la signature cryptographique dans la chaîne d'approvisionnement logicielle en éliminant la difficulté opérationnelle historique de gestion de clés privées, obstacle majeur ayant longtemps freiné l'adoption généralisée de la signature de code malgré son importance reconnue pour la sécurité de la supply chain. Le composant central, Fulcio, délivre des certificats de signature de très courte durée de vie (quelques minutes) liés à une identité vérifiée via un fournisseur OpenID Connect existant (compte GitHub, Google, ou identité d'entreprise), plutôt que d'exiger la génération et la conservation sécurisée d'une paire de clés à long terme par le développeur signataire. Rekor, second composant fondamental, maintient un journal transparent et immuable (transparency log) inspiré du Certificate Transparency utilisé pour les certificats TLS, enregistrant publiquement chaque signature effectuée, permettant à quiconque de vérifier après coup qu'une signature donnée a bien été émise à un moment précis sans possibilité de falsification rétroactive. L'outil Cosign, construit sur cette infrastructure, permet de signer et vérifier concrètement des images de conteneurs OCI. Adopté par des projets majeurs comme Kubernetes lui-même, Sigstore répond directement aux enjeux soulevés par des incidents de supply chain comme SolarWinds.