Implementando Sigstore para Assinatura de Software

Quando Usar

• Assinar imagens de contêiner e artefatos de software sem gerenciar chaves criptográficas de longa duração
• Estabelecer proveniência verificável para saídas de compilação em pipelines de CI/CD usando vinculação de identidade OIDC
• Consultar o log de transparência Rekor para auditar quando e por quem um artefato foi assinado
• Verificar se as imagens de contêiner puxadas de registros foram assinadas por identidades e emissores autorizados
• Integrar a verificação Sigstore em controladores de admissão do Kubernetes para impor políticas de imagem assinada

Não use para assinar artefatos que exigem fluxos de trabalho de assinatura offline ou "air-gapped" onde a autenticação OIDC não está disponível, para ambientes que não conseguem alcançar a infraestrutura pública Sigstore (Fulcio, Rekor) e não possuem uma instância privada implantada, ou como substituto para a assinatura tradicional PGP/GPG onde a conformidade regulatória exige procedimentos específicos de gerenciamento de chaves.

Pré-requisitos

• Cosign CLI v2.4+ instalado (go install github.com/sigstore/cosign/v2/cmd/cosign@latest ou lançamento binário)
• Acesso a um provedor de identidade OIDC suportado pelo Fulcio (Google, GitHub, Microsoft ou um emissor OIDC personalizado)
• Credenciais do registro de contêiner (para assinar imagens de contêiner) com acesso de push para armazenar objetos de assinatura
• Python 3.9+ com sigstore, requests e cryptography pacotes para o agente de automação
• Acesso à rede para fulcio.sigstore.dev, rekor.sigstore.dev e tuf-repo-cdn.sigstore.dev (ou URLs de instância Sigstore privada)

Fluxo de Trabalho

Passo 1: Instalar e Configurar o Cosign

Instale o Cosign e verifique se ele consegue alcançar a infraestrutura Sigstore:

• Instalar a partir do lançamento binário: Baixe o binário apropriado da página de lançamentos do Cosign no GitHub e verifique seu checksum. No Linux: curl -LO https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64 && chmod +x cosign-linux-amd64 && sudo mv cosign-linux-amd64 /usr/local/bin/cosign
• Verificar instalação: Execute cosign version para confirmar a versão e verificar a conectividade com os serviços Sigstore com cosign initialize, que busca a raiz de confiança TUF.
• Configurar infraestrutura personalizada (opcional): Se estiver executando uma pilha Sigstore privada, defina as flags --fulcio-url, --rekor-url e --oidc-issuer ou use as variáveis de ambiente COSIGN_REKOR_URL e COSIGN_FULCIO_URL.

Passo 2: Assinatura Sem Chave com Cosign e Fulcio

Realize a assinatura baseada em identidade onde o Fulcio emite um certificado de curta duração vinculado à sua identidade OIDC:

• Assinar uma imagem de contêiner: Execute cosign sign <IMAGE_DIGEST>, que aciona um fluxo de autenticação OIDC. O Cosign gera um par de chaves efêmero, obtém um certificado de curta duração do Fulcio vinculando a chave pública à identidade OIDC, assina o digest da imagem e registra o evento de assinatura no Rekor. A chave privada é destruída imediatamente após a assinatura.
• Assinar um blob (arquivo): Execute cosign sign-blob <file> --bundle artifact.sigstore.json para assinar arquivos arbitrários. O pacote contém a assinatura, certificado, timestamp e prova de inclusão do Rekor.
• Assinatura não interativa em CI: Defina a variável de ambiente SIGSTORE_ID_TOKEN com um token OIDC válido (por exemplo, do GitHub Actions OIDC ou GCP workload identity) para pular o fluxo de autenticação baseado em navegador:

  export SIGSTORE_ID_TOKEN=$(curl -sH "Authorization: bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
    "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=sigstore" | jq -r '.value')
  cosign sign $IMAGE_DIGEST
  

• Provedores OIDC suportados: Google (https://accounts.google.com), GitHub (https://github.com/login/oauth), Microsoft (https://login.microsoftonline.com), GitLab (https://gitlab.com) e provedores personalizados registrados com uma instância Fulcio privada.

Passo 3: Verificar Artefatos Assinados

Verifique se os artefatos foram assinados por identidades esperadas de emissores OIDC esperados:

• Verificar uma imagem de contêiner: Execute cosign verify <IMAGE_URI> --certificate-identity=name@example.com --certificate-oidc-issuer=https://accounts.google.com para confirmar que a imagem foi assinada pela identidade especificada. O Cosign valida a cadeia de certificados, verifica a prova de inclusão do Rekor e verifica se a assinatura corresponde ao digest atual da imagem.
• Verificar um blob assinado: Execute cosign verify-blob <file> --bundle artifact.sigstore.json --certificate-identity=name@example.com --certificate-oidc-issuer=https://accounts.google.com

…