Sigstore란?
패키지·컨테이너 이미지의 서명과 검증을 대중화한 Linux Foundation 프로젝트다. PKI 설정 없이 GitHub·Google 계정으로 바로 서명.
구성
- Cosign — 컨테이너 이미지 서명 CLI
- Fulcio — 단기 인증서 발급 CA
- Rekor — 서명 투명성 로그
흐름
- OIDC로 본인 확인 (GitHub/Google)
- Fulcio가 수명 10분짜리 인증서 발급
- Cosign으로 서명 + Rekor에 기록
- 검증자는 공개 로그에서 확인
채택
Kubernetes·npm·PyPI·Docker Hub 공식 서명이 Sigstore 기반으로 확대 중.