您的软件（真正）来自哪里？

软件是由源代码构建而成，具有生命周期，但缺乏可见性。

软件构件的生命周期缺乏可见性是安全挑战的根源。

数字签名和签名是确保软件构件可信的重要手段。

Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的证明服务。

通过生成文件的摘要，可以确保文件未被篡改。

软件签名是对软件构件的唯一性进行保证的方式。

操作系统通过强制要求签名来确保可执行软件的可信来源。

证明（attestation）是对软件构件的事实声明，需由可信实体创建。

来源证明（provenance attestation）是最重要的证明类型，涉及软件构件的来源和构建指令。

SLSA项目提供了软件供应链安全的共同框架。

构建证明服务需要发行证书、确保证书不被滥用、签名和验证签名。

Sigstore简化了软件签名的过程，使其透明且易于采用。

Sigstore要求符合The Update Framework (TUF)的安全信任根。

Sigstore可以创建不可篡改的记录，将构件与CI链接起来。