sigstore/root-signingMantiene el repositorio TUF que entrega de forma segura la raíz de confianza de Sigstore (trusted_root.json) a los clientes, utilizando firma por umbral de los titulares de claves, firma en línea mediante KMS y publicación automatizada.
El proyecto root-signing mantiene el repositorio TUF utilizado para entregar de forma segura la raíz de confianza de Sigstore (trusted_root.json) a los clientes de Sigstore.
El repositorio se publica para el consumo de los clientes de sigstore en https://tuf-repo-cdn.sigstore.dev/.
Las fuentes de metadatos se encuentran en la carpeta metadata/, y los artefactos (como trusted_root.json) en la carpeta targets/. Consulte Operación para más detalles sobre cómo modificar estas fuentes.
La seguridad de root-signing depende de los titulares de claves: deben ser miembros de la comunidad de confianza que estén dispuestos y sean capaces de desempeñar las funciones de titular de claves, como verificar el nuevo contenido de trusted_root.json y firmar en los eventos de firma.
Todos los cambios en artefactos o metadatos requieren firmas criptográficas de los titulares de claves de Sigstore. Los titulares de claves actuales, los requisitos de firma y el calendario de firma se documentan en el repositorio publicado
| Titulares de claves | Mandato |
|---|---|
| Lance Ball | Julio de 2025 - |
| Joshua Lock | Julio de 2022 - |
| Bob Callaway | Junio de 2021 - |
| Marina Moore | Junio de 2021 - |
| Santiago Torres-Arias | Junio de 2021 - |
| Titulares de claves eméritos | Mandato |
|---|---|
| Luke Hinds | Junio de 2021 - Julio de 2022 |
| Dan Lorenc | Junio de 2021 - Julio de 2025 |
El repositorio TUF se modifica de dos maneras:
Los eventos de firma son pull requests creados y gestionados por root-signing en los que los titulares de claves firman los cambios propuestos. Los eventos de firma ocurren por múltiples razones:
En todos los casos, el desencadenante para que se cree un PR de evento de firma es un push a una rama "sign/*" (ya sea por parte del mantenedor o de un workflow).
Existe un repositorio separado, root-signing-staging: cualquier cambio no trivial (en los metadatos o en los artefactos) debe probarse en root-signing-staging antes de introducirse en un evento de firma de root-signing.
La firma en línea ocurre en dos situaciones:
En la práctica, la firma en línea ocurre al menos cada tres días debido a la expiración de las firmas en línea.
La firma en línea conduce a un despliegue de "preproducción" en https://sigstore.github.io/root-signing/. Este es un repositorio TUF totalmente funcional que se utiliza para ejecutar tanto pruebas genéricas de clientes TUF como pruebas específicas de clientes de Sigstore (con cosign y otros clientes de sigstore). Las pruebas exitosas conducen al despliegue en producción en https://tuf-repo-cdn.sigstore.dev/.
Los flujos de trabajo importantes en root-signing son:
create-signing-events crea ramas para eventos de firma cuando las firmas están cerca de expirar.
Se ejecuta según programaciónsigning-event crea y gestiona las solicitudes de extracción de eventos de firma. Se ejecuta cuando se
envían ramas "sign/*"online-sign confirma y fusiona firmas en línea, también despacha publish. Se ejecuta cuando
se envía a "main" (pero puede despacharse manualmente en cualquier momento)publish publica un repositorio de prueba en GitHub Pages, ejecuta pruebas de cliente y finalmente publica
el repositorio. Se ejecuta por despacho desde online-sign¡Un agradecimiento especial a Dan Lorenc, Trishank Kuppusamy, Marina Moore, Santiago Torres-Arias y a toda la comunidad de SigStore!
Una grabación de la ceremonia de firma está disponible aquí.