아티팩트와 서명을 함께 관리
Notation은 OCI 레지스트리 생태계에서 서명을 표준 항목으로 다루는 도구다. 생성한 서명을 레지스트리에 저장하고 대상 아티팩트와 연결한다. 이미지의 태그로 대상을 지정하더라도 실제 서명 전에 다이제스트로 해석하므로 변경 가능한 이름과 특정 내용을 가리키는 값을 구분한다.
서명 존재와 신뢰의 차이
서명이 붙어 있다는 사실만으로 원하는 주체가 만든 결과물이라고 판단할 수는 없다. 신뢰 정책에서 허용할 서명자의 신원과 신뢰 저장소, 검증 수준 등을 정의한다. 검증 과정은 대상 아티팩트의 서명을 이런 기준에 맞춰 확인하는 흐름이다.
검증 결과의 의미
명령행에서 서명을 생성하고 목록을 보거나 연결된 서명을 검증할 수 있다. 서명 검증은 대상과 서명자의 관계를 확인하는 과정이며 코드의 모든 취약점이나 실행 동작을 검사하는 것과는 다르다. 빌드 품질과 취약점 검사, 배포 정책을 각각의 기준에 맞춰 연결해야 한다.
관련 문서
Ratify / in-toto / SLSA / Dependency-Track / GoReleaser