Signature de paquets
Qu'est-ce que Signature de paquets ?
Signature de paquetsApplication d'une signature cryptographique à un paquet logiciel pour que les consommateurs vérifient l'identité de l'éditeur et que l'artefact n'a pas été altéré après publication.
La signature de paquets lie un artefact (binaire, bibliothèque, image conteneur, paquet OS, module de langage) à l'identité cryptographique de l'éditeur. Les vérificateurs comparent la signature à la clé, au certificat ou à l'entrée du journal de transparence attendus avant d'installer ou d'exécuter le paquet. Les écosystèmes courants comprennent Sigstore Cosign pour les images OCI et les paquets de langage, les paquets Linux signés GPG, Authenticode sur Windows, codesign sur macOS/iOS et Maven Central avec PGP. La pratique moderne privilégie des clés éphémères et des identités OIDC (Sigstore) plutôt que des clés hors-ligne à longue durée de vie, plus des journaux de transparence (Rekor) pour l'auditabilité publique. La signature est complémentaire des SBOM, de la provenance SLSA et des builds reproductibles : elle répond à "qui a livré ceci et est-ce intact ?", les autres à "que contient-il et comment a-t-il été fabriqué ?".
● Exemples
- 01
Signer les binaires de release avec Sigstore Cosign et publier la signature dans Rekor.
- 02
Vérifier les signatures de paquets Debian via apt et la clé GPG de la distribution.
● Questions fréquentes
Qu'est-ce que Signature de paquets ?
Application d'une signature cryptographique à un paquet logiciel pour que les consommateurs vérifient l'identité de l'éditeur et que l'artefact n'a pas été altéré après publication. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.
Que signifie Signature de paquets ?
Application d'une signature cryptographique à un paquet logiciel pour que les consommateurs vérifient l'identité de l'éditeur et que l'artefact n'a pas été altéré après publication.
Comment fonctionne Signature de paquets ?
La signature de paquets lie un artefact (binaire, bibliothèque, image conteneur, paquet OS, module de langage) à l'identité cryptographique de l'éditeur. Les vérificateurs comparent la signature à la clé, au certificat ou à l'entrée du journal de transparence attendus avant d'installer ou d'exécuter le paquet. Les écosystèmes courants comprennent Sigstore Cosign pour les images OCI et les paquets de langage, les paquets Linux signés GPG, Authenticode sur Windows, codesign sur macOS/iOS et Maven Central avec PGP. La pratique moderne privilégie des clés éphémères et des identités OIDC (Sigstore) plutôt que des clés hors-ligne à longue durée de vie, plus des journaux de transparence (Rekor) pour l'auditabilité publique. La signature est complémentaire des SBOM, de la provenance SLSA et des builds reproductibles : elle répond à "qui a livré ceci et est-ce intact ?", les autres à "que contient-il et comment a-t-il été fabriqué ?".
Comment se défendre contre Signature de paquets ?
Les défenses contre Signature de paquets combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Signature de paquets ?
Noms alternatifs courants : Code signing, Signature d'artefacts.
● Termes liés
- appsec№ 226
Cosign
CLI open source du projet Sigstore pour signer, vérifier et attester des artefacts OCI et d'autres logiciels, en mode clé ou sans clé.
- appsec№ 1044
Sigstore
Projet open source de la Linux Foundation qui facilite la signature, la vérification et la protection des artefacts logiciels en combinant clés éphémères, identités OIDC et journal de transparence.
- appsec№ 1069
Sécurité de la chaîne d'approvisionnement logicielle
Discipline qui protège chaque maillon de la chaîne de production logicielle - source, dépendances, build, signature, distribution et déploiement - contre les manipulations, le code malveillant et la perte d'intégrité.
- appsec№ 870
Attestation de provenance
Déclaration signée et vérifiable par machine décrivant comment un artefact logiciel a été produit - source, système de build, paramètres, dépendances - pour que les consommateurs aient confiance en son origine.
- cryptography№ 321
Signature numérique
Mécanisme cryptographique à clé publique qui démontre l'authenticité, l'intégrité et la non-répudiation d'un message ou d'un document.
- appsec№ 1053
SLSA Framework
Supply-chain Levels for Software Artifacts : ensemble d'exigences à paliers publié par l'OpenSSF qui durcit progressivement la façon de construire, signer et vérifier les logiciels face aux manipulations de la chaîne d'approvisionnement.