The Python Package Index Blog
·
PyPI 现已支持数字证明
内容提要
PyPI现已支持数字证明，包维护者可在发布时附加签名以增强供应链安全性。新API允许用户验证已发布的证明，目前已有超过20,000个证明发布。此举基于PEP 740，旨在提高信任度，确保所有证明可验证且对用户有用。
关键要点
-
PyPI现在支持数字证明，包维护者可以在发布时附加签名以增强供应链安全性。
-
新API允许用户验证已发布的证明，目前已有超过20,000个证明发布。
-
此举基于PEP 740，旨在提高信任度，确保所有证明可验证且对用户有用。
-
数字证明相比常规加密签名有三个主要优势：由身份签名而非密钥对、提供可验证的上游源代码仓库链接、上传时必须验证。
-
PyPI提供两种方式访问与文件相关的数字证明：新的完整性API和新的网页用户界面。
-
生成和发布证明是默认进行的，符合条件的项目无需更改。
-
感谢Sovereign Tech Agency和Google开源安全团队对PEP 740的支持和资金提供。
延伸解读
数字证明的优势
PyPI引入数字证明的主要优势在于其身份签名机制，避免了传统密钥对可能带来的安全隐患。这种机制不仅提高了包的可信度，还能有效防止因密钥丢失或泄露而导致的签名失效问题。
如何验证数字证明
用户可以通过新的完整性API或网页用户界面来验证文件的数字证明。这种透明度使得用户在下载和使用包时，可以更安心地确认其来源和完整性，增强了整体的供应链安全性。
对开发者的影响
对于包维护者而言，数字证明的自动生成和发布简化了流程，符合条件的项目无需额外操作即可享受这一安全特性。这将鼓励更多开发者采用安全的发布方式，提升整个生态系统的安全性。
延伸问答
PyPI的数字证明有什么优势？
数字证明相比常规加密签名有三个主要优势：由身份签名而非密钥对、提供可验证的上游源代码仓库链接、上传时必须验证。
如何在PyPI上验证数字证明？
用户可以通过新的完整性API或新的网页用户界面访问与文件相关的数字证明。
PEP 740的目的是什么？
PEP 740旨在提高信任度，确保所有证明可验证且对用户有用。
目前有多少个数字证明已发布？
目前已有超过20,000个数字证明发布。
包维护者在发布时如何使用数字证明？
包维护者可以在发布时附加签名，以增强供应链安全性，生成和发布证明是默认进行的，符合条件的项目无需更改。
PyPI的数字证明是如何与源代码关联的？
数字证明通过签名上游源代码仓库的身份，定义了文件与源代码、工作流及提交哈希之间的强关联。
