sigstore/rekor
ثبت و شفافیت در زنجیره تأمین نرم‌افزار
این پروژه یک سیستم لاگ باز و امن برای تأیید صحت و منشأ آرتیفکت‌های نرم‌افزاری فراهم می‌کند.
کاربرد:
Rekor یک سرویس ثبت (log) شفاف است که به توسعه‌دهندگان و سازمان‌ها کمک می‌کند تا امضاهای دیجیتال، هش‌ها و داده‌های احراز هویت شده از آرتیفکت‌های نرم‌افزاری (مثل باینری‌ها، کانتینرها، اسکریپت‌ها) را به صورت عمومی و غیرقابل تغییر ثبت کنند. این کار به جلوگیری از جعل هویت و حملات زنجیره تأمین کمک می‌کند.
در چه شرایطی بهتره استفاده شود؟
وقتی که نیاز به اعتماد عمومی در منشأ نرم‌افزارها دارید، مثل زمانی که یک کتابخانه اوپن سورس منتشر می‌کنید، یا یک سرویس CI/CD دارید که باید اثبات کند بیلد از یک کد معتبر آمده. همچنین برای سازمان‌هایی که الزامات امنیتی بالایی دارند (مثل دولتی یا مالی) عالیه.
چند مثال از موارد استفاده
ثبت امضای یک تصویر کانتینر در هنگام بیلد در CI
تأیید اینکه یک بسته npm واقعاً توسط توسعه‌دهنده اصلی منتشر شده
استفاده در کنار cosign و fulcio برای امضای بدون کلید (keyless signing)
بررسی اینکه آیا یک آرتیفکت قبلاً مورد سوءاستفاده قرار گرفته یا خیر ️️
- ##software
- ##supply
- ##sigstore
- ##rekor
- ##devsecops
- ##open
- ##keyless
- ##zero
- ##artifact
- ##trusted