신원을 서명 키에 연결
파일의 서명을 확인하더라도 해당 키가 누구의 것인지 판단할 근거가 필요하다. Fulcio는 이메일 주소 같은 OIDC 신원을 바탕으로 코드 서명 인증서를 발급한다. 서명 도구가 사용하는 키와 인증한 신원을 연결해 이후 검증의 근거를 제공하는 역할이다.
짧은 인증서와 신뢰 기반
발급하는 인증서는 짧은 기간에만 유효하도록 설계됐다. 인증서를 받아들일 때는 인증서 체인이 신뢰하는 루트에 연결되는지도 확인해야 한다. 공개 서비스의 신뢰 자료는 Sigstore의 TUF 루트를 기반으로 검증하는 흐름을 제공한다. 파일을 서명하는 도구와 인증서를 발급하는 기관의 역할은 구분된다.
발급 기록의 투명성
발급한 인증서는 인증서 투명성 로그에 공개된다. 감사자는 로그의 무결성과 특정 신원에 대한 발급을 살펴 오설정이나 신원 침해 가능성을 확인하는 자료로 활용할 수 있다. 다만 인증서 발급이 해당 소프트웨어의 기능이나 취약점 검사를 완료했다는 뜻은 아니다.