Cosign とは？

Sigstoreの署名・検証ツールだよ。コンテナイメージやファイルに署名し、受け取った側が期待する署名者の署名か、署名された内容と一致するかを確認する。ソフトウェアの配布や利用の前に確かめる材料になるんだ。

署名だけでは判断できないよ。署名者は必ずしも作者とは限らないし、危険なコードにも署名できる。署名の検証は、決めた署名者や内容との一致を確かめるもの。コードの安全性やビルドの過程を確認するには、別の情報や検査も必要なんだ。

秘密鍵は使うよ。署名時に一時的な鍵のペアを作り、OIDCで得た身元情報と公開鍵をFulcioの短期証明書で結び付ける。長く保管する秘密鍵を減らす仕組みなんだ。認証情報やCI環境が悪用される可能性まで、ゼロになるわけではないよ。

標準的なキーレス署名ではRekorという透明ログに署名の情報を記録するよ。後から監査や検証に使えるんだ。ただしCosignには自分で管理する鍵を使う方式や、独自のSigstoreサービスを使う構成もある。すべてが同じ公開ログを使うとは限らないよ。

たとえばCIでビルドしたイメージを署名し、配布やデプロイ前に検証するよ。キーレス検証なら、期待する証明書の身元をcertificate-identity、認証元をcertificate-oidc-issuerで指定する。誰かの署名が有効というだけでなく、受け入れる相手を決めて確認するんだ。