Seminar Signierung und Provenance – Sigstore, Cosign und SLSA

Seminarbeschreibung

Eine gültige Signatur beantwortet zunächst, ob ein Artefakt zu einem bestimmten Signaturnachweis passt. Für eine Freigabe muss zusätzlich geklärt sein, ob die verwendete Identität, der Aussteller und der Build-Kontext tatsächlich vertrauenswürdig sind. Das Seminar verbindet diese Fragen mit dem Umgang mit unveränderlichen Artefakt-Digests und nachvollziehbaren Build-Angaben. Es zeigt, wie Signaturprüfung und Herkunftsnachweise zu einer konkreten Annahmeregel zusammengeführt werden.

Cosign wird für die Signierung und Verifikation vorbereiteter Artefakte eingesetzt. Schlüsselbasierte Verfahren und identitätsbasierte kurzlebige Zertifikate werden getrennt betrachtet. Provenance beschreibt relevante Build-Eingaben und den ausführenden Builder; ihre Aussagekraft hängt vom Schutz dieser Erzeugung ab. SLSA dient zur Einordnung der entsprechenden Anforderungen. Die Übungen prüfen daher auch gültig signierte, aber unzulässige Veröffentlichungen und inkonsistente Build-Nachweise. Eine Signatur wird weder als Schwachstellenfreiheit noch eine selbst erstellte Bescheinigung als Nachweis eines besonders geschützten Build-Systems verstanden.

Inhaltsübersicht

1. Vertrauensmodell für Softwareartefakte
2. Cosign und Signaturverfahren einsetzen
3. Identitäten und Aussteller strikt prüfen
4. Provenance und Attestierungen verstehen
5. SLSA-Anforderungen praktisch einordnen
6. Freigabe und langfristige Verifikation

Seminarinhalte

Modul 1: Vertrauensmodell für Softwareartefakte

Kapitelinhalt: Digest; Identität; Annahmeregel

• Artefaktidentität, Integritätsprüfung und Autorisierung des Veröffentlichenden als getrennte Prüfungen definieren.
• Vertrauensanker, erlaubte Aussteller und zulässige Build-Kontexte für ein Beispielprodukt bestimmen.
• Risiken veränderlicher Tags und unvollständiger Prüfvorgaben an konkreten Verifikationsfällen erkennen.

Modul 2: Cosign und Signaturverfahren einsetzen

Kapitelinhalt: Schlüssel; Zertifikate; Nachweisablage

• Ein Laborartefakt signieren und die zugehörigen Signaturdaten mit seinem unveränderlichen Digest verbinden.
• Schlüsselbasierte Signierung und identitätsbasierte kurzlebige Zertifikate hinsichtlich Betrieb und Vertrauen vergleichen.
• Signaturmaterial und erforderliche Verifikationsdaten für den vorgesehenen Online- oder Offline-Prüfweg vorhalten.

Modul 3: Identitäten und Aussteller strikt prüfen

Kapitelinhalt: OIDC; erlaubte Identität; Negativtests

• Erwartete Signaturidentität und OIDC-Aussteller ausdrücklich festlegen und gegen die erhaltenen Nachweise prüfen.
• Ein gültig signiertes Artefakt aus einer nicht erlaubten Identität gezielt zurückweisen.
• Zu weit gefasste Muster, fehlende Kontextbindung und abgeschaltete Prüfungen als Lücken in einer Annahmeregel identifizieren.

Modul 4: Provenance und Attestierungen verstehen

Kapitelinhalt: Builder; Eingaben; Artefaktbezug

• Build-Nachweise anhand von Builder-Identität, Quellstand, relevanten Eingaben und erzeugtem Artefakt auswerten.
• Eine Attestierung erzeugen und prüfen, ob ihr Subject-Digest mit dem freizugebenden Artefakt übereinstimmt.
• Vom Job selbst frei änderbare Angaben von Informationen unterscheiden, die durch eine geschützte Build-Plattform erzeugt werden.

Modul 5: SLSA-Anforderungen praktisch einordnen

Kapitelinhalt: Build-Schutz; Quellschutz; Nachweisgrenzen

• Anforderungen an geschützte Build-Prozesse auf die Architektur des Labor-Builders abbilden.
• Schutz von Quellständen und Schutz der Build-Ausführung gemeinsam betrachten, ohne beide Nachweisarten gleichzusetzen.
• Lücken und notwendige zusätzliche Kontrollen dokumentieren; aus einer vorhandenen Provenance kein unbelegtes Sicherheitsniveau ableiten.

Modul 6: Freigabe und langfristige Verifikation

Kapitelinhalt: Policy; Archivierung; Schlüsselwechsel

• Digest, Signaturidentität und ausgewählte Provenance-Angaben in einer nachvollziehbaren Freigabeentscheidung zusammenführen.
• Manipulierte Artefakte, unpassende Subjects und unzulässige Builder durch Negativtests erkennen.
• Verifikationsmaterial, Vertrauensänderungen und Reaktionen auf kompromittierte Identitäten in den Lebenszyklus einplanen.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Ein unveränderliches Laborartefakt erzeugen und seinen Digest als Prüfgegenstand festlegen.
2. Das Artefakt mit dem vorbereiteten Verfahren signieren und die benötigten Nachweisdaten sichern.
3. Eine Verifikationsregel mit enger Identitäts- und Ausstellerbindung konfigurieren.
4. Einen Build-Nachweis ergänzen und dessen Artefakt- sowie Quellstandbezug überprüfen.
5. Manipulation, falsche Identität und unpassenden Build-Kontext testen und die Ablehnung jedes unzulässigen Falls nachvollziehen.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Vorbereitete CI-Pipeline, OCI-Registry, Cosign sowie abgestimmte Signaturidentitäten oder Laborschlüssel. Ein funktionsfähiger identitätsbasierter Sigstore-Prüfweg einschließlich benötigter Vertrauensdaten wird vorab bereitgestellt.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.