Sigstore Cosign 验证器

要解决的问题

在容器化部署中，镜像供应链安全至关重要。攻击者可能篡改镜像内容，而传统验证方式难以追踪签名来源与完整性。开发者面临三个具体问题：镜像是否被篡改、签名是否来自可信来源、验证流程能否自动化集成。

技能如何工作

该验证器通过 Cosign CLI 与 Rekor 透明度日志 API 实现自动化验证，核心能力包括：

• 签名验证自动化：使用 cosign verify 命令检查容器镜像签名
• Rekor 日志集成：查询 Rekor 透明度日志 API 验证签名时间戳与完整性
• SLSA provenance 检查：验证 SLSA 来源证明，确保构建过程可信
• Fulcio 证书链验证：检查无密钥签名的 Fulcio 证书链，支持 keyless signing 场景

典型工作流程：

1. 提交镜像引用与签名到 Rekor 日志
2. 验证镜像摘要与签名匹配性
3. 检查证书链完整性与有效期
4. 输出验证结果与潜在风险

适用边界与注意点

• 密钥管理需求：多数验证工作流需定期从 TUF 仓库请求服务密钥
• 时间戳验证：若出现 failed to verify timestamps: threshold not met 错误，可能需要 RFC3161 时间戳支持
• 依赖上游文档：具体安装方式需参考官方文档，支持 Homebrew、Arch、Nix、GitHub Action 和 Kubernetes 等多种环境
• 版本兼容性：需确保 Cosign CLI 版本与 Rekor API 兼容，避免验证失败