Cosign / Sigstore

Cosign и Sigstore - открытый инструментарий для криптографической подписи и верификации контейнерных образов и других артефактов сборки. Cosign выполняет саму подпись и хранит подпись рядом с образом в реестре, а Sigstore обеспечивает публичный журнал прозрачности Rekor - неизменяемый лог, фиксирующий факт подписи. Связка защищает цепочку поставки программного обеспечения: если образ подменён после публикации, верификация это обнаружит.