Sigstore

Sigstore - открытая экосистема для прозрачного подписания программных артефактов без управления приватными ключами. Вместо долгосрочных ключей используется кратковременная пара, привязанная к удостоверению через OIDC-провайдер (GitHub Actions, Google, Microsoft), а запись о подписи фиксируется в публичном журнале прозрачности Rekor. Проверить подлинность контейнера или пакета может любой желающий без предварительного обмена ключами. GitLab и крупные реестры контейнеров интегрировали Sigstore в стандартный пайплайн верификации цепочки поставки ПО.