sigstoreのKeyless Signingでは何を検証しているのか - sometimes I laugh

最近、個人的にsigstoreのKeyless Signingがアツいです。以下のブログを読みました。 これらの記事は主にコンテナイメージの署名について解説しているのですが、sigstoreはバイナリの署名にも使えます。以前から、複数メンテナ体制で秘密鍵をどう共有しよう？とか、公開鍵の安全な配布方法って無くない？と考えていたので、渡りに船です。 チームでひとつの鍵を保守したい場合とかどうやってるんだろ、みんなに主キー配るんかな、まぁそりゃそうか...— wata (@wata727_) 2021年5月1日 リリースバイナリの署名に使った鍵をキーサーバーで公開してたら、今それ信用できんのでリポジトリに公開鍵入れてくれという話が来ていた、もう何も信用できないhttps://t.co/2g5diZxGIM— wata (@wata727_) 2019年12月24日 早速、採用に向けて色々調べてい

[ledsun]

“検証側に求められることは膨大ですが、多くの技術が組み合わさって、特定の秘密鍵を必要としない署名ができるのは面白いです。”