使用SigStore签署CPAN发布
💡
原文英文，约400词，阅读约需2分钟。
📝
内容提要
在维也纳的Perl工具链峰会上，决定弃用Module::Signature，因其安全性不足。新插件Dist::Zilla::Plugin::SigStore::SignRelease使用SigStore签署CPAN发布，利用短期证书进行身份验证，并在发布时生成签名包上传，同时记录在Rekor透明日志中。虽然PAUSE尚未验证SigStore签名，但用户可自行验证。
🎯
关键要点
- 在维也纳的Perl工具链峰会上，决定弃用Module::Signature，因其安全性不足。
- 新插件Dist::Zilla::Plugin::SigStore::SignRelease使用SigStore签署CPAN发布，利用短期证书进行身份验证。
- 插件在发布时生成签名包并上传，同时记录在Rekor透明日志中。
- 用户可以自行验证SigStore签名，尽管PAUSE尚未验证这些签名。
- 使用该插件需要在Dist::Zilla配置文件中移除现有上传器，并添加新插件。
❓
延伸问答
为什么决定弃用Module::Signature？
因为Module::Signature的安全性不足，无法提供所需的安全保障。
Dist::Zilla::Plugin::SigStore::SignRelease是如何工作的？
该插件在发布时调用cosign进行签名，生成签名包并上传，同时记录在Rekor透明日志中。
如何在Dist::Zilla中配置SigStore插件？
需要在dist.ini中移除现有上传器，并添加[SigStore::SignRelease]插件。
用户如何验证SigStore签名？
用户可以使用cosign命令自行验证签名，尽管PAUSE尚未验证这些签名。
SigStore使用了什么样的证书进行身份验证？
SigStore使用短期的、由OIDC颁发的证书进行身份验证。
PAUSE是否验证SigStore签名？
目前PAUSE尚未验证SigStore签名。
🏷️
标签
➡️
