Sigstore
Linux基金会支持的开源软件签名项目，提供基于OpenID Connect的无密钥签名机制，通过公开透明日志（Rekor）实现软件包来源与完整性验证，是软件供应链安全的重要基础设施。
时间轴 (近 90 天)
成熟工具会采用离线签名、多签、透明日志（如 Sigstore）以及可回滚的版本锁定机制，以降低自我更新带来的供应链风险。
Cosign 是 Sigstore 项目提供的容器镜像签名工具
cosign 是 Sigstore 项目下的开源工具，专为 OCI 容器镜像和制品的签名、验证与证明（attestation）而设计
SLSA 框架和 Sigstore 项目致力于为构建与发布流程提供可验证的来源证明
Sigstore/Cosign 等供应链安全工具原生支持对 OCI Artifact 进行签名和验证
GitHub 在 2022 年引入了对 Actions 发布产物的官方签名支持（Sigstore/cosign 体系）
GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段
crates.io正在推进或已部署的防护机制包括强制2FA、发布版本不可变性保证以及基于Sigstore的透明度日志
推广软件包签名机制可以提升恶意包冒充合法包的成本，即便攻击者注册仿冒包名也无法伪造合法维护者的签名证明
Sigstore是由Linux基金会支持的开源项目，旨在为软件包提供基于OpenID Connect的无密钥签名机制
还有 7 条时间轴事件
全部知识事实 (17)
成熟工具会采用离线签名、多签、透明日志（如 Sigstore）以及可回滚的版本锁定机制，以降低自我更新带来的供应链风险。
50%待验证Cosign 是 Sigstore 项目提供的容器镜像签名工具
50%待验证cosign 是 Sigstore 项目下的开源工具，专为 OCI 容器镜像和制品的签名、验证与证明（attestation）而设计
50%待验证SLSA 框架和 Sigstore 项目致力于为构建与发布流程提供可验证的来源证明
50%待验证Sigstore/Cosign 等供应链安全工具原生支持对 OCI Artifact 进行签名和验证
50%待验证GitHub 在 2022 年引入了对 Actions 发布产物的官方签名支持（Sigstore/cosign 体系）
50%待验证GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段
50%待验证crates.io正在推进或已部署的防护机制包括强制2FA、发布版本不可变性保证以及基于Sigstore的透明度日志
50%待验证推广软件包签名机制可以提升恶意包冒充合法包的成本，即便攻击者注册仿冒包名也无法伪造合法维护者的签名证明
50%待验证Sigstore是由Linux基金会支持的开源项目，旨在为软件包提供基于OpenID Connect的无密钥签名机制
50%待验证Sigstore将签名记录写入公开的透明日志Rekor，使任何人可验证包是否由声称的维护者在特定CI环境中构建发布
50%待验证PyPI已于2023年开始支持Sigstore签名
50%待验证在 CI 环境中可结合 npm audit、package-lock.json 哈希锁定以及 Sigstore 等工具构建多层验证以降低依赖投毒风险
50%待验证Sigstore 采用短期证书模式，签名者通过 OIDC 向 Fulcio CA 证明身份，获取有效期仅数分钟的签名证书
50%待验证Open Source Security Foundation（OpenSSF）于2020年成立，推出了Scorecard、Sigstore等工具
50%待验证npm 生态在 2022 年引入了 Sigstore 签名支持
50%待验证npm 生态于 2022 年引入 Sigstore 签名支持，允许包维护者通过 OIDC 身份联合对发布的 tarball 进行无密钥签名
50%