서명 기록을 남기는 목적
서명이 언제 어떤 자료와 함께 기록됐는지 확인할 수 있으면 산출물의 수명 주기에 관한 신뢰 판단에 도움이 된다. Rekor는 소프트웨어 유지관리자와 빌드 시스템이 서명된 메타데이터를 변경에 강한 기록으로 남기도록 하는 구조다. 다른 당사자는 그 기록을 조회해 판단 자료로 활용한다.
기록과 증명 조회
서버의 REST API와 명령행 도구를 통해 항목을 만들고 검증하거나 투명성 로그를 조회할 수 있다. 특정 기록이 로그에 들어 있는지 확인하는 포함 증명과 로그 무결성 검증도 다룬다. 공개 키나 아티팩트를 기준으로 관련 항목을 찾는 기능도 제공한다.
서명 검증과의 관계
Rekor는 Sigstore 서명 인프라의 일부이지만 독립적으로 운영하는 방식도 가능하다. 다양한 메타데이터 형식과 PKI 도구에 확장하도록 설계됐다. 다만 로그에 항목이 포함됐다는 사실이 그 소프트웨어의 품질과 안전성을 승인했다는 의미는 아니며 서명자와 정책에 대한 판단은 별도로 필요하다.