Implementando Assinatura de Código para Artefatos

Quando Usar

• Ao estabelecer a verificação de integridade de artefatos para prevenir adulteração na cadeia de suprimentos
• Quando a conformidade exige prova criptográfica de que os artefatos de build são autênticos e não foram modificados
• Ao distribuir software para clientes que precisam verificar a identidade do publicador
• Ao implementar pipelines de implantação com confiança zero que rejeitam artefatos não assinados
• Ao atender aos requisitos SLSA Nível 2+ para proveniência e integridade

Não use para criptografar artefatos (a assinatura fornece integridade, não confidencialidade), para assinatura específica de imagens de contêiner (use cosign) ou para autenticação de código-fonte (use assinatura de commit).

Pré-requisitos

• Par de chaves GPG para assinatura tradicional ou conta Sigstore para assinatura sem chave
• Certificado de assinatura de código de uma Autoridade Certificadora para distribuição pública
• Pipeline de CI/CD com acesso a chaves de assinatura ou provedor de identidade
• Infraestrutura de verificação em pipelines de implantação

Fluxo de Trabalho

Etapa 1: Gerar e Gerenciar Chaves de Assinatura

# Generate GPG key for artifact signing
gpg --full-generate-key --batch <<EOF
Key-Type: eddsa
Key-Curve: ed25519
Subkey-Type: eddsa
Subkey-Curve: ed25519
Name-Real: CI Build System
Name-Email: ci-signing@company.com
Expire-Date: 1y
%no-protection
EOF

# Export public key for distribution
gpg --armor --export ci-signing@company.com > signing-key.pub

# Export private key for CI/CD (store in secrets manager)
gpg --armor --export-secret-keys ci-signing@company.com > signing-key.priv

Etapa 2: Assinar Artefatos de Build em CI/CD

# .github/workflows/build-sign.yml
name: Build and Sign

on:
  push:
    tags: ['v*']

jobs:
  build-sign:
    runs-on: ubuntu-latest
    permissions:
      contents: write
      id-token: write  # For Sigstore keyless signing
    steps:
      - uses: actions/checkout@v4

      - name: Build artifacts
        run: |
          make build
          sha256sum dist/* > dist/checksums.sha256

      - name: Import GPG Key
        run: |
          echo "${{ secrets.GPG_PRIVATE_KEY }}" | gpg --batch --import
          gpg --list-secret-keys

      - name: Sign artifacts
        run: |
          for file in dist/*; do
            gpg --detach-sign --armor --local-user ci-signing@company.com "$file"
          done

      - name: Install cosign for keyless signing
        uses: sigstore/cosign-installer@v3

      - name: Keyless sign with Sigstore
        run: |
          for file in dist/*.tar.gz; do
            cosign sign-blob "$file" \
              --output-signature "${file}.sig" \
              --output-certificate "${file}.cert" \
              --yes
          done

      - name: Create Release with signed artifacts
        uses: softprops/action-gh-release@v2
        with:
          files: |
            dist/*
            dist/*.asc
            dist/*.sig
            dist/*.cert

Etapa 3: Verificar Assinaturas no Pipeline de Implantação

# Verify GPG signature
gpg --import signing-key.pub
gpg --verify artifact.tar.gz.asc artifact.tar.gz

# Verify Sigstore keyless signature
cosign verify-blob artifact.tar.gz \
  --signature artifact.tar.gz.sig \
  --certificate artifact.tar.gz.cert \
  --certificate-identity ci-signing@company.com \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# Verify checksums
sha256sum --check checksums.sha256

Etapa 4: Assinar Pacotes npm com Proveniência

{
  "scripts": {
    "prepublishOnly": "npm run build && npm run test"
  },
  "publishConfig": {
    "provenance": true
  }
}

# Publish npm package with provenance attestation
npm publish --provenance

Conceitos Chave

…