배포물과 서명자의 연결
릴리스 파일과 컨테이너 이미지 및 구성 명세 등에 서명을 적용할 수 있다. 서명된 자료의 출처 신원과 변경 여부를 검증하는 체계이며 배포물의 기능이나 취약점 유무를 직접 검사하는 도구와는 역할이 다르다.
짧게 사용하는 키와 인증서
일시적 키를 사용하는 방식에서 클라이언트는 키 쌍을 만들고 공개 키와 OpenID Connect 토큰을 인증 기관에 제시한다. 인증 기관은 토큰을 확인해 신원과 공개 키가 연결된 짧은 수명의 인증서를 발급한다. 개인 키는 클라이언트가 사용하며 서명 후 폐기한다.
검증과 공개 감사 기록
서명 정보는 Rekor의 추가 전용 투명성 로그에 기록된다. 검증자는 서명과 인증서의 신원 및 신뢰 경로와 로그 포함 증명을 확인한다. 이를 함께 검토해 기대한 신원이 서명했는지와 서명 당시 인증서가 유효했는지를 판단한다.
관련 문서
Syft / Grype / Trivy / OpenID Connect / 공개 키 암호 / API