Cosign.

Sigstore 项目提供的开源命令行工具,可使用有密钥或无密钥工作流对 OCI 工件及其他软件进行签名、验证与证明。 它属于网络安全的 应用安全 分类。

Sigstore 项目提供的开源命令行工具,可使用有密钥或无密钥工作流对 OCI 工件及其他软件进行签名、验证与证明。

Cosign 是 Sigstore 技术栈面向用户的工具。它可以对容器镜像、OCI 工件、二进制 blob、SBOM 和 in-toto 证明进行签名,并把签名与工件一起存放在 OCI 注册中心。无密钥模式下,它通过 Fulcio 基于 OIDC 身份获取短期证书,并把签名写入 Rekor 透明日志;有密钥模式下则可以使用传统密钥、硬件令牌或 KMS 托管密钥。验证策略可以要求可信身份(例如某个特定的 GitHub Actions 工作流)、可复用工作流或特定的证明谓词。在许多 CI 流水线和 Kubernetes 准入系统(Kyverno、Connaisseur、OPA Gatekeeper)中,Cosign 已成为默认的签名工具,用以保障供应链完整性。

针对 Cosign 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: cosign。