Sigstore
¿Qué es Sigstore?
SigstoreProyecto open source de la Linux Foundation que facilita firmar, verificar y proteger artefactos de software combinando claves efímeras, identidades OIDC y un registro de transparencia.
Sigstore es un conjunto de servicios cooperantes: Cosign para firmar artefactos, Fulcio como autoridad de certificación gratuita basada en OIDC que emite certificados de firma efímeros, y Rekor, un registro público de transparencia solo de adición. Los desarrolladores se autentican con su proveedor de identidad existente (GitHub, Google, etc.) y Fulcio les emite un certificado de firma breve; Cosign firma contenedores, binarios, SBOM o atestaciones in-toto, y registra la firma en Rekor. La verificación consulta el log y comprueba identidad y firma sin gestionar claves privadas de larga vida. Sigstore se usa ampliamente en ecosistemas OCI, registros de paquetes y pipelines alineados con SLSA para defenderse de ataques a la cadena de suministro.
● Ejemplos
- 01
Firmar imágenes de contenedor en CI con Cosign y verificarlas en el admission de Kubernetes.
- 02
Publicar SBOM firmados y atestaciones in-toto en Rekor para verificación pública.
● Preguntas frecuentes
¿Qué es Sigstore?
Proyecto open source de la Linux Foundation que facilita firmar, verificar y proteger artefactos de software combinando claves efímeras, identidades OIDC y un registro de transparencia. Pertenece a la categoría de Seguridad de aplicaciones en ciberseguridad.
¿Qué significa Sigstore?
Proyecto open source de la Linux Foundation que facilita firmar, verificar y proteger artefactos de software combinando claves efímeras, identidades OIDC y un registro de transparencia.
¿Cómo funciona Sigstore?
Sigstore es un conjunto de servicios cooperantes: Cosign para firmar artefactos, Fulcio como autoridad de certificación gratuita basada en OIDC que emite certificados de firma efímeros, y Rekor, un registro público de transparencia solo de adición. Los desarrolladores se autentican con su proveedor de identidad existente (GitHub, Google, etc.) y Fulcio les emite un certificado de firma breve; Cosign firma contenedores, binarios, SBOM o atestaciones in-toto, y registra la firma en Rekor. La verificación consulta el log y comprueba identidad y firma sin gestionar claves privadas de larga vida. Sigstore se usa ampliamente en ecosistemas OCI, registros de paquetes y pipelines alineados con SLSA para defenderse de ataques a la cadena de suministro.
¿Cómo defenderse de Sigstore?
Las defensas contra Sigstore combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Sigstore?
Nombres alternativos comunes: sigstore.
● Términos relacionados
- appsec№ 226
Cosign
CLI open source del proyecto Sigstore para firmar, verificar y atestiguar artefactos OCI y otro software, usando flujos con o sin claves de larga duración.
- appsec№ 522
in-toto
Marco abierto que atestigua criptográficamente cada paso de una cadena de suministro de software, para que los consumidores verifiquen que el artefacto se construyó y manejó exactamente como pretendía el propietario del proyecto.
- appsec№ 1053
SLSA Framework
Supply-chain Levels for Software Artifacts: conjunto escalonado de requisitos publicado por OpenSSF que endurece progresivamente la forma de construir, firmar y verificar software frente a manipulaciones de la cadena de suministro.
- appsec№ 1069
Seguridad de la cadena de suministro de software
Disciplina que protege cada eslabón de la producción de software —fuente, dependencias, build, firma, distribución y despliegue— frente a manipulación, código malicioso y pérdida de integridad.
- appsec№ 784
Firma de paquetes
Aplicación de una firma criptográfica a un paquete de software para que los consumidores verifiquen la identidad del publicador y que el artefacto no se ha alterado tras su publicación.
- appsec№ 870
Atestación de procedencia
Declaración firmada y verificable por máquina que describe cómo se produjo un artefacto de software —fuente, sistema de build, parámetros y dependencias— para que los consumidores confíen en su origen.