Distribuir software de manera segura implica poder comprobar que los archivos recibidos corresponden a los publicados por sus responsables y que no fueron modificados durante el proceso.
Sigstore es un ecosistema de herramientas y servicios orientado a facilitar la firma y verificación de artefactos de software.
Una de sus características interesantes es el uso de mecanismos de identidad que pueden reducir la necesidad de administrar manualmente claves de firma de larga duración en determinados flujos de trabajo.
También incorpora componentes relacionados con registros de transparencia, que permiten conservar información verificable sobre determinadas operaciones de firma.
Esto puede ayudar a mejorar la trazabilidad de artefactos distribuidos mediante procesos automatizados.
Por ejemplo, un proyecto puede firmar imágenes de contenedores durante su proceso de construcción y posteriormente verificar esas firmas antes de permitir su despliegue.
Sin embargo, una firma válida no significa que el contenido sea necesariamente seguro.
Un programa puede estar correctamente firmado y aun así contener errores o vulnerabilidades.
La firma proporciona garantías sobre determinados aspectos de identidad e integridad, no sobre la calidad absoluta del software.
Mini guía práctica: comienza identificando los artefactos críticos que distribuye tu organización y establece políticas para firmarlos y verificarlos automáticamente.
Tip Winxgo: verificar el origen de un artefacto es una parte importante de la seguridad, pero debe complementarse con análisis de vulnerabilidades y controles de desarrollo.
¿Consideras que la firma de imágenes y paquetes debería convertirse en una práctica habitual dentro de DevOps?
Leave a Reply