cosign
cosign 是 Sigstore 项目下的开源工具，专为 OCI 容器镜像和制品的签名、验证与证明（attestation）而设计，支持将扫描报告、SBOM等结构化元数据以密码学签名形式附加到制品上，格式遵循 in-toto Attestation Framework。
时间轴 (近 90 天)
cosign 的 Attestation 功能允许将任意结构化元数据（如扫描报告、SBOM、构建日志）以签名形式附加到制品上，格式遵循 in-toto Attestation Framework
cosign 是 Sigstore 项目下的开源工具，专为 OCI 容器镜像和制品的签名、验证与证明（attestation）而设计
cosign 将签名信息存储在与制品同一个 OCI 仓库中，通过制品的内容摘要（SHA256 digest）进行密码学绑定，只要制品内容发生变化，摘要随之改变，原有签名自动失效
扫描器升级后进行重扫时，追加新的 attestation 并记录扫描器版本与时间戳，比覆盖式更新更合理，有利于审计追溯
cosign 的 attestation 可被 Kubernetes 策略引擎（如 Kyverno、OPA Gatekeeper）在部署时自动拦截验证
将每次扫描结果作为 cosign attestation 附加到 OCI 制品上，由集群在启动阶段执行策略校验，拒绝缺少所需证明的制品启动，是一种可行的ML供应链安全方案
GitHub 在 2022 年引入了对 Actions 发布产物的官方签名支持（Sigstore/cosign 体系）
全部知识事实 (7)
cosign 的 Attestation 功能允许将任意结构化元数据（如扫描报告、SBOM、构建日志）以签名形式附加到制品上，格式遵循 in-toto Attestation Framework
50%待验证cosign 是 Sigstore 项目下的开源工具，专为 OCI 容器镜像和制品的签名、验证与证明（attestation）而设计
50%待验证cosign 将签名信息存储在与制品同一个 OCI 仓库中，通过制品的内容摘要（SHA256 digest）进行密码学绑定，只要制品内容发生变化，摘要随之改变，原有签名自动失效
50%待验证扫描器升级后进行重扫时，追加新的 attestation 并记录扫描器版本与时间戳，比覆盖式更新更合理，有利于审计追溯
50%待验证cosign 的 attestation 可被 Kubernetes 策略引擎（如 Kyverno、OPA Gatekeeper）在部署时自动拦截验证
50%待验证将每次扫描结果作为 cosign attestation 附加到 OCI 制品上，由集群在启动阶段执行策略校验，拒绝缺少所需证明的制品启动，是一种可行的ML供应链安全方案
50%待验证GitHub 在 2022 年引入了对 Actions 发布产物的官方签名支持（Sigstore/cosign 体系）
50%