谈 Sigstore 正式 GA，揭秘 K8S 生态周报背后的故事

2023-09-12 09:40:48

Sigstore 正式发布：加强 Kubernetes 生态系统的软件供应链安全

摘要

在最近举行的 KubeCon + CloudNativeCon North America 2022 上，Sigstore 正式宣布了其 GA（General Availability）版本。作为 Kubernetes (K8S) 生态系统中一个关键的开源项目，Sigstore 的到来标志着一个激动人心的里程碑，因为它将进一步增强软件供应链的安全性。

什么是 Sigstore？

Sigstore 是一个致力于通过数字签名为软件供应链提供安全保障的开源项目。它旨在防止恶意软件的传播，确保软件的完整性和来源。

Sigstore 的优势

软件供应链的安全保障： Sigstore 利用数字签名来验证软件的完整性和来源，防止恶意软件通过软件供应链进行传播。
提高软件透明度： Sigstore 的数字签名是公开的，使任何人可以验证软件的完整性和来源，从而增强软件透明度。
促进 Kubernetes 生态系统的健康发展： 随着 Sigstore 在 Kubernetes 用户中的普及，他们可以更安全地部署和管理应用程序，促进生态系统的健康发展。

Sigstore 对 Kubernetes 生态系统的影响

Sigstore 的正式发布为 Kubernetes 生态系统带来了以下积极影响：

增强了 K8S 应用程序的安全性
提高了软件透明度
促进了生态系统的健康发展和用户采用

代码示例

使用 Sigstore 验证软件签名：

import (
    "context"
    "fmt"

    "github.com/sigstore/sigstore/pkg/cosign/client"
    "github.com/sigstore/sigstore/pkg/cosign/cosign"
)

func verifySignature(ctx context.Context, artifactURI, keyID string) error {
    cosignClient, err := client.NewCosignClient()
    if err != nil {
        return err
    }
    defer cosignClient.Close()

    resp, err := cosignClient.GetSignature(ctx, &cosignpb.GetSignatureRequest{
        ArtifactURI: artifactURI,
        KeyID:       keyID,
    })
    if err != nil {
        return err
    }

    fmt.Printf("Signature: %s\n", resp.Signature)
    return nil
}