Undirritaðu gáma án langlífs lykils — Cosign sannreynir auðkennið

Til að undirrita OCI-gámamynd án langlífs einkalykils skaltu birta myndina í gámaskrá, varðveita tilvísun hennar eftir digest og keyra cosign sign á þá tilvísun. Leiðbeiningar Sigstore um undirritun gáma lýsa lykillausri undirritun með tímabundnum lykli og OIDC-auðkenningu.

Sannreyndu síðan sömu mynd með cosign verify og gefðu upp bæði vænt auðkenni undirritara og væntanlegan OIDC-útgefanda. Leiðbeiningar Sigstore um sannprófun sýna báða fánana og lýsa því hvernig Cosign ber digest í undirrituðu efninu saman við myndina. Samþykki byggist þannig á undirritun fyrir rétt innihald frá því auðkenni sem þú treystir.

Festu myndina við digest

Byrjaðu á mynd sem hefur þegar verið birt í gámaskrá og taktu digest hennar úr niðurstöðu birtingarinnar eða úr skránni. Tilvísunin hefur formið skrá/geymsla/mynd@sha256:digest, þar sem síðasti hlutinn verður að vera raunverulegt digest myndarinnar. Í skipununum hér að neðan táknar $MYND þessa fullu tilvísun, ekki heiti á merki.

Merki á borð við útgáfuheiti getur síðar bent á annað innihald. Cosign-verkefnið á GitHub mælir því með að undirrita myndir eftir digest fremur en merki. Þegar sama digest er notað við undirritun og sannprófun verður breyting á því hvert merkið bendir ekki að hljóðlátri breytingu á myndinni sem verið er að meta.

Varðveittu tilvísunina eftir digest sem útgáfugagn og láttu hana fylgja myndinni til þess aðila sem sannprófar hana. Ef viðtakandi fær aðeins merki þarf hann fyrst að leysa það í digest og bera niðurstöðuna saman við það sem útgefandinn ætlaði að afhenda. Digest segir hvaða innihald á að sannreyna; það segir eitt og sér ekkert um hver hafði heimild til að gefa það út.

Undirritaðu með OIDC-auðkenni

Þegar $MYND vísar á birta mynd eftir digest er skipunin cosign sign "$MYND". Í lykillausa ferlinu fer undirritari í gegnum OIDC-auðkenningu og Cosign fær vottorð fyrir tímabundinn undirritunarlykil. Þú þarft því ekki að dreifa langlífum einkalykli með útgáfuferlinu.

Veldu auðkennið áður en þú undirritar. Við handvirka undirritun getur það verið auðkenni þess sem skráir sig inn; í sjálfvirku ferli þarf það að samsvara ferlinu sem gefur myndina út. Skráðu líka hvaða OIDC-útgefandi á að staðfesta auðkennið, því viðtakandinn þarf bæði gildin þegar hann sannprófar undirritunina.

Fulcio-vottorðið tengir tímabundna lykilinn við auðkennið og undirritunin er skráð í Rekor-gagnsæisskrá í venjulegu lykillausu ferli. Cosign hleður undirrituninni jafnframt upp með myndinni í OCI-gámaskrána. Gagnsæisskráin gerir undirritunina rekjanlega, en aðgangur að henni ákveður ekki hvaða undirritari hefur heimild fyrir þinni útgáfu; sú ákvörðun þarf að koma fram í sannprófuninni.

Undirritari þarf heimild til að birta undirritun í gámaskránni. Viðtakandi þarf síðan að geta sótt bæði myndina og undirritunina. Ef undirritun er vistuð annars staðar verður að afhenda hana sérstaklega; annars hefur venjuleg sannprófun í gámaskránni ekkert undirritað efni til að meta.

Sannreyndu vænt auðkenni og útgefanda

Láttu $AUDKENNI vera nákvæmt auðkenni þess sem má undirrita myndina og $UTGEFANDI vera vænta slóð OIDC-útgefandans. Þessi gildi eiga að koma úr útgáfustefnu sem þú hefur ákveðið fyrirfram. Ef þau eru aðeins lesin úr vottorðinu sem verið er að meta og síðan samþykkt eru þau ekki sjálfstæð krafa.

Keyrðu cosign verify "$MYND" --certificate-identity="$AUDKENNI" --certificate-oidc-issuer="$UTGEFANDI". Fyrri fáninn ber auðkennið í vottorðinu saman við væntanlegan undirritara; sá síðari ber OIDC-útgefandann saman við væntanlegan útgefanda. Notaðu nákvæm gildi þegar þau eru þekkt, því víð regluleg segð getur látið fleiri auðkenni eða útgefendur standast en útgáfuferlið ætlast til.

Þessar kröfur svara ólíkum spurningum. Vottorð getur verið gilt og undirritun dulritunarlega rétt þótt auðkennið tilheyri öðrum aðila en þeim sem má gefa út þína mynd. Á sama hátt er sýnilega sama auðkenni undir öðrum OIDC-útgefanda ekki sjálfkrafa sama traustsyfirlýsing. Báðir fánarnir verða því að vísa á fyrirfram ákveðna samsetningu.

Cosign sannreynir einnig að digest í undirrituðu efninu passi við myndina sem skipunin fékk. Þess vegna á að nota sömu tilvísun eftir digest frá undirritun til móttöku. Ekki slökkva á athugun undirritaðra staðhæfinga til að láta ósamræmi standast; sú athugun er hluti af tengingunni milli undirritunar og myndar.

Láttu rangt auðkenni stöðva samþykki

Eftir vel heppnaða sannprófun geturðu endurtekið sömu skipun með auðkenni sem þú veist að er rangt, en haldið $MYND og $UTGEFANDI óbreyttum. Sannprófunin á þá að mistakast svo framarlega sem engin undirritun á þessari mynd ber röngu samsetninguna. Þessi neikvæða prófun sýnir hvort samþykkið byggist í raun á væntu auðkenni.

Prófaðu einnig rangan OIDC-útgefanda með réttu auðkenni. Ef engin undirritun passar við þá samsetningu á skipunin að mistakast. Í sjálfvirku útgáfuferli þarf misheppnuð cosign verify skipun að stöðva samþykki myndarinnar; annars breytir auðkennisbindingin engu um það sem fer áfram í notkun.

Ef rétt samsetning stenst ekki skaltu bera saman digest myndarinnar, auðkennið sem birtist við undirritun og vænta útgefandann. Mögulegt er að merki hafi verið leyst í annað digest en það sem var undirritað, eða að vænt gildi hafi verið skráð rangt. Breyttu ekki væntu gildunum eingöngu til að fá græna niðurstöðu: þau skilgreina hverjum útgáfuferlið treystir.

Þegar undirritunin fer ekki í gámaskrána

Cosign getur líka vistað undirritaða efnið í Sigstore-bunka með skipuninni cosign sign --bundle=bundle.sigstore.json --upload=false "$MYND". Þá er undirrituninni ekki hlaðið upp með myndinni. Varðveita þarf bunkann og gera hann aðgengilegan þeim sem á að sannprófa útgáfuna.

Þetta val breytir dreifingu undirritunarinnar, ekki þörfinni fyrir fast digest og vænt auðkenni. Ef móttakandi á að nota venjulega cosign verify skipun sem sækir undirritun með myndinni úr gámaskránni þarf undirritunin að vera aðgengileg þar. Veldu því geymsluleið áður en myndin er afhent og láttu sannprófunarferlið sækja undirritun úr þeirri leið sem var valin.

Lestu einnig:

• GitHub krefst nýrrar auðkenningar — stolinn vefkökuaðgangur dugar ekki
• NIST vill varanlegt auðkenni en skammlífa lykla fyrir gervigreindarfulltrúa
• Claude Opus 5.5 fær vatnsmerki — almenningur getur ekki sannreynt það