您的软件（真正）来自哪里？
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
软件是一个神奇而复杂的东西，由源代码构建而成。构件的生命周期缺乏可见性，这是安全挑战的根源。数字签名和签名是确保软件构件可信的重要手段。Sigstore是一个开源项目，提供了X.509 CA和基于RFC 3161的证明服务。
❓
Q&A
软件构件的生命周期缺乏可见性会带来什么安全挑战？
软件构件生命周期缺乏可见性使得难以追踪软件的来源和构建过程，增加了被恶意篡改的风险。
什么是数字签名，它在软件安全中有什么作用？
数字签名是对软件构件唯一性的保证，确保软件的可信来源，防止篡改。
Sigstore项目的主要功能是什么？
Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的证明服务，简化软件签名过程。
什么是来源证明（provenance attestation），它的重要性是什么？
来源证明是对软件构件来源和构建指令的声明，确保软件的可信性，是最重要的证明类型。
如何确保软件文件未被篡改？
可以通过生成文件的摘要并与之前的摘要进行比较来确保文件未被篡改。
SLSA项目在软件供应链安全中扮演什么角色？
SLSA项目提供了一个共同框架，帮助软件生产者和消费者理解安全保证和边界。
🏷️
