GitHub 工件证明：签署和验证软件工件
内容提要
GitHub推出Artifact Attestations功能，以确保在GitHub Actions中构建的工件的完整性。通过创建和验证数字签名，开发者可以提高安全性，防范供应链攻击和未经授权的修改。同时，GitHub还推出Kubernetes Policy Controller，允许开发者在Kubernetes中直接验证证明，进一步增强安全性。
延伸解读
供应链安全的新防线
Artifact Attestations 通过数字签名将工件与源代码和构建指令绑定，确保工件在 GitHub Actions 中构建后未被篡改。这有助于防范供应链攻击，例如恶意修改构建产物。开发者可以在工作流中调用 attest-build-provenance 动作生成证明，并使用 gh attestation verify 命令验证，从而提升软件供应链的整体安全性。
Kubernetes 环境中的验证
GitHub 同时推出了 Kubernetes Policy Controller，允许开发者在 Kubernetes 集群中直接验证工件证明。这为部署环节增加了一层安全防护，确保只有通过验证的工件才能被部署。结合 Artifact Attestations，开发者可以在 CI/CD 和运行时环境之间建立一致的信任链，减少未经授权修改的风险。
基于 Sigstore 的实现
Artifact Attestations 由 Sigstore 提供支持，这是一个用于签名和验证软件工件的开源项目。通过 Sigstore，开发者可以生成和验证数字签名，而无需管理复杂的密钥基础设施。这降低了采用门槛，使更多团队能够轻松集成工件证明，从而加强软件供应链的安全实践。
Q&A
GitHub的Artifact Attestations功能有什么作用？
Artifact Attestations功能通过创建和验证数字签名，确保在GitHub Actions中构建的工件的完整性，防范供应链攻击和未经授权的修改。
如何在GitHub Actions中使用Artifact Attestations？
开发者可以通过在工作流中调用新的attest-build-provenance Action，并提供工件路径来使用Artifact Attestations。
Kubernetes Policy Controller的功能是什么？
Kubernetes Policy Controller允许开发者在Kubernetes中直接验证Artifact Attestations，增强安全性。
Artifact Attestations如何提高软件供应链的安全性？
Artifact Attestations通过创建工件与构建过程之间的链接，确保工件的来源和完整性，从而提高软件供应链的安全性。
Artifact Attestations是如何与源代码和构建指令关联的？
Artifact Attestations通过创建和验证数字签名，将工件与源代码和构建指令链接起来。
GitHub何时宣布Artifact Attestations功能的正式发布？
GitHub在2023年6月25日宣布Artifact Attestations功能的正式发布。
