Выбор ответа Senior Безопасность цепочки поставки обновлено
Keyless-подпись в Sigstore
Вопрос
Как работает keyless-подпись образа через cosign в CI?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: CI по OIDC-токену получает короткий сертификат Fulcio, подпись пишется в Rekor. Keyless значит, что не нужно хранить долгоживущий приватный ключ: личность подписанта подтверждается OIDC (например, «пайплайн такого-то репозитория на ветке main»), сертификат живёт минуты, а журнал прозрачности позволяет проверить, что…
Варианты ответа
- Образ подписывается без криптографии, только записью о сборке в метаданных реестра
- Подпись встраивается отдельным слоем в сам образ и меняет его digest
- CI по OIDC-токену получает короткий сертификат Fulcio, подпись пишется в Rekorправильный ответ
- Ключ подписи генерируется заново на каждой сборке и сохраняется в репозитории
Разбор
Keyless значит, что не нужно хранить долгоживущий приватный ключ: личность подписанта подтверждается OIDC (например, «пайплайн такого-то репозитория на ветке main»), сертификат живёт минуты, а журнал прозрачности позволяет проверить, что подпись была сделана, пока сертификат действовал. Подпись хранится в реестре рядом с образом как отдельный артефакт, сам образ и его digest не меняются.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.