您的软件（真正）来自哪里？
内容提要
软件是一个神奇而复杂的东西，由源代码构建而成。构件的生命周期缺乏可见性，这是安全挑战的根源。数字签名和签名是确保软件构件可信的重要手段。Sigstore是一个开源项目，提供了X.509 CA和基于RFC 3161的证明服务。
延伸解读
软件构件生命周期中的可见性缺失
文章指出，软件构件从源代码构建到最终运行，其生命周期往往缺乏可见性。这种不透明性使得我们难以确认运行的构件是否就是构建的产物，从而成为许多安全挑战的根源。攻击者可能利用这一盲区篡改软件，因此提升构件生命周期的可见性对保障软件供应链安全至关重要。
从签名到证明：提升软件信任的层次
数字签名能确保构件未被篡改，但仅能证明“某个可信系统见过它”。而证明（attestation）则是对构件事实的声明，如来源和构建过程，由可信实体签名。其中，来源证明（provenance attestation）最为关键，它记录了构件的源代码和构建指令，为软件供应链安全提供了更深入的保障。
Sigstore：简化软件签名的开源方案
Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的时间戳服务，并支持使用OIDC令牌进行身份验证。它类似于TLS证书领域的Let's Encrypt，旨在使软件签名简单、透明且易于采用。Sigstore要求符合TUF的安全信任根，以支持密钥轮换，并创建不可篡改的记录，将构件与CI链接起来。
Q&A
软件构件的生命周期缺乏可见性会带来什么安全挑战？
软件构件生命周期缺乏可见性使得难以追踪软件的来源和构建过程，增加了被恶意篡改的风险。
什么是数字签名，它在软件安全中有什么作用？
数字签名是对软件构件唯一性的保证，确保软件的可信来源，防止篡改。
Sigstore项目的主要功能是什么？
Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的证明服务，简化软件签名过程。
什么是来源证明（provenance attestation），它的重要性是什么？
来源证明是对软件构件来源和构建指令的声明，确保软件的可信性，是最重要的证明类型。
如何确保软件文件未被篡改？
可以通过生成文件的摘要并与之前的摘要进行比较来确保文件未被篡改。
SLSA项目在软件供应链安全中扮演什么角色？
SLSA项目提供了一个共同框架，帮助软件生产者和消费者理解安全保证和边界。
