Cosign
¿Qué es Cosign?
CosignCLI open source del proyecto Sigstore para firmar, verificar y atestiguar artefactos OCI y otro software, usando flujos con o sin claves de larga duración.
Cosign es la herramienta de usuario del stack Sigstore. Permite firmar imágenes de contenedor, artefactos OCI, blobs, SBOM y atestaciones in-toto, y almacenar la firma junto al artefacto o en un registro OCI. En modo keyless utiliza Fulcio para obtener un certificado efímero ligado a una identidad OIDC y registra la firma en Rekor; en modo "keyed" usa claves tradicionales, tokens hardware o claves respaldadas por un KMS. Las políticas de verificación pueden exigir identidades de confianza (por ejemplo, un workflow concreto de GitHub Actions), workflows reusables o predicados de atestación. Cosign es la herramienta de firma predeterminada en muchos pipelines CI y sistemas de admisión Kubernetes (Kyverno, Connaisseur, OPA Gatekeeper) para imponer integridad en la cadena de suministro.
● Ejemplos
- 01
cosign sign --identity-token $OIDC_TOKEN ghcr.io/org/app:v1.2
- 02
Política Kyverno que verifica que las imágenes de producción están firmadas por un workflow concreto de GitHub Actions.
● Preguntas frecuentes
¿Qué es Cosign?
CLI open source del proyecto Sigstore para firmar, verificar y atestiguar artefactos OCI y otro software, usando flujos con o sin claves de larga duración. Pertenece a la categoría de Seguridad de aplicaciones en ciberseguridad.
¿Qué significa Cosign?
CLI open source del proyecto Sigstore para firmar, verificar y atestiguar artefactos OCI y otro software, usando flujos con o sin claves de larga duración.
¿Cómo defenderse de Cosign?
Las defensas contra Cosign combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Cosign?
Nombres alternativos comunes: cosign.