Sigstore를 사용한 키 없이 서명 및 검증

Tier: Free, Premium, Ultimate Offering: GitLab.com

Sigstore 프로젝트는 GitLab CI/CD를 사용하여 빌드된 컨테이너 이미지의 키 없이 서명을 위한 CLI인 Cosign을 제공합니다. 키 없이 서명하는 것은 개인 키를 관리, 보호 및 회전할 필요를 없애는 것을 포함하여 많은 장점이 있습니다. Cosign은 서명에 사용할 단기 키 쌍을 요청하고 이를 인증서 투명성 로그에 기록한 다음 폐기합니다. 이 키는 파이프라인을 실행한 사용자의 OIDC ID를 사용하여 GitLab 서버에서 얻은 토큰을 통해 생성됩니다. 이 토큰은 CI/CD 파이프라인에 의해 생성된 것을 인증하는 고유한 주장들을 포함합니다. 자세한 내용은 키 없이 서명에 대한 Cosign 문서를 참조하세요.

GitLab OIDC 주장과 Fulcio 인증서 확장 간의 매핑에 대한 자세한 내용은 Mapping OIDC token claims to Fulcio OIDs에서 GitLab 열을 참조하세요.

전제 조건:

  • GitLab.com을 사용해야 합니다.
  • 프로젝트의 CI/CD 구성은 프로젝트에 위치해야 합니다.

Cosign을 사용한 컨테이너 이미지 및 빌드 아티팩트 서명 또는 검증

Cosign을 사용하여 컨테이너 이미지 및 빌드 아티팩트를 서명하고 검증할 수 있습니다.

전제 조건:

  • Cosign 버전이 >= 2.0.1 이어야 합니다.

제한 사항

  • CI/CD 구성 파일의 id_tokens 부분은 빌드되고 서명되는 프로젝트에 위치해야 합니다. AutoDevOps, 다른 리포지토리에서 포함된 CI 파일 및 자식 파이프라인은 지원되지 않습니다. 이 제한을 없애기 위한 작업은 issue 411317에서 추적되고 있습니다.

모범 사례:

  • 서명되기 전에 변조되지 않도록 동일한 작업에서 이미지/아티팩트를 빌드하고 서명하세요.
  • 컨테이너 이미지를 서명할 때는 태그 대신(변경 불가능한) 다이제스트를 서명하세요.

GitLab ID 토큰은 Cosign에서 키 없이 서명을 하는 데 사용될 수 있습니다. 토큰은 sigstore가 aud 주장으로 설정되어 있어야 합니다. 이 토큰은 SIGSTORE_ID_TOKEN 환경 변수에 설정되면 Cosign에서 자동으로 사용될 수 있습니다.

Cosign 설치 방법에 대한 자세한 내용은 Cosign 설치 문서를 참조하세요.

서명

컨테이너 이미지

Cosign.gitlab-ci.yml 템플릿을 사용하여 GitLab CI에서 컨테이너 이미지를 빌드하고 서명할 수 있습니다. 서명은 이미지와 동일한 컨테이너 리포지토리에 자동으로 저장됩니다.

include:
- template: Cosign.gitlab-ci.yml

컨테이너 서명에 대한 자세한 내용은 Cosign 서명 컨테이너 문서를 참조하세요.

빌드 아티팩트

아래 예는 GitLab CI에서 빌드 아티팩트를 서명하는 방법을 보여줍니다. 서명 검증에 사용되는 cosign.sign-blob에서 생성된 cosign.bundle 파일을 저장해야 합니다.

아티팩트를 서명하는 방법에 대한 자세한 내용은 Cosign Signing Blobs 문서를 참조하세요.

build_and_sign_artifact:
  stage: build
  image: alpine:latest
  variables:
    COSIGN_YES: "true"
  id_tokens:
    SIGSTORE_ID_TOKEN:
      aud: sigstore
  before_script:
    - apk add --update cosign
  script:
    - echo "This is a build artifact" > artifact.txt
    - cosign sign-blob artifact.txt --bundle cosign.bundle
  artifacts:
    paths:
      - artifact.txt
      - cosign.bundle

검증

명령줄 인수

이름 값
--certificate-identity Fulcio에서 발급한 서명 인증서의 SAN입니다. 다음 정보를 사용하여 구축할 수 있습니다: GitLab 인스턴스 URL + 프로젝트 경로 + // + CI 구성 경로 + @ + 참조 경로.
--certificate-oidc-issuer 이미지/아티팩트가 서명된 GitLab 인스턴스 URL입니다. 예: https://gitlab.com.
--bundle cosign sign-blob에서 생성된 bundle 파일입니다. 빌드 아티팩트를 검증하는 데만 사용됩니다.

서명된 이미지/아티팩트를 검증하는 방법에 대한 자세한 내용은 Cosign Verifying 문서를 참조하세요.

컨테이너 이미지

아래 예는 GitLab CI에서 서명된 컨테이너 이미지를 검증하는 방법을 보여줍니다. 명령줄 인수는 위에서 설명합니다.

verify_image:
  image: alpine:3.20
  stage: verify
  before_script:
    - apk add --update cosign docker
    - docker login -u "$CI_REGISTRY_USER" -p "$CI_REGISTRY_PASSWORD" $CI_REGISTRY
  script:
    - cosign verify "$CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG" --certificate-identity "https://gitlab.com/my-group/my-project//path/to/.gitlab-ci.yml@refs/heads/main" --certificate-oidc-issuer "https://gitlab.com"

추가 세부정보:

  • 프로젝트 경로와 .gitlab-ci.yml 경로 사이의 이중 백슬래시는 오류가 아니며 검증이 성공하기 위해 필요합니다. 단일 슬래시가 사용될 경우 발생하는 일반적인 오류는 Error: none of the expected identities matched what was in the certificate, got subjects이며, 이는 프로젝트 경로와 .gitlab-ci.yml 경로 사이에 두 개의 슬래시가 있는 서명된 URL이 뒤따릅니다.
  • 서명이 이루어지는 동일한 파이프라인에서 검증이 발생하는 경우, 다음 경로를 사용할 수 있습니다: "${CI_PROJECT_URL}//.gitlab-ci.yml@refs/heads/${CI_COMMIT_REF_NAME}"

빌드 아티팩트

아래 예는 GitLab CI에서 서명된 빌드 아티팩트를 검증하는 방법을 보여줍니다. 아티팩트를 검증하려면 아티팩트 자체와 cosign.bundle 파일이 필요합니다. 명령줄 인수는 위에서 설명합니다.

verify_artifact:
  stage: verify
  image: alpine:latest
  before_script:
    - apk add --update cosign
  script:
    - cosign verify-blob artifact.txt --bundle cosign.bundle --certificate-identity "https://gitlab.com/my-group/my-project//path/to/.gitlab-ci.yml@refs/heads/main" --certificate-oidc-issuer "https://gitlab.com"

추가 세부정보:

  • 프로젝트 경로와 .gitlab-ci.yml 경로 사이의 이중 백슬래시는 오류가 아니며 검증이 성공하기 위해 필요합니다. 단일 슬래시가 사용될 경우 발생하는 일반적인 오류는 Error: none of the expected identities matched what was in the certificate, got subjects이며, 이는 프로젝트 경로와 .gitlab-ci.yml 경로 사이에 두 개의 슬래시가 있는 서명된 URL이 뒤따릅니다.
  • 서명이 이루어지는 동일한 파이프라인에서 검증이 발생하는 경우, 다음 경로를 사용할 수 있습니다: "${CI_PROJECT_URL}//.gitlab-ci.yml@refs/heads/${CI_COMMIT_REF_NAME}"

Sigstore 및 npm을 사용하여 키 없는 출처 만들기

Sigstore 및 npm을 GitLab CI/CD와 함께 사용하여 키 관리의 부담 없이 빌드 아티팩트를 디지털 서명할 수 있습니다.

npm 출처에 대하여

npm CLI는 패키지 관리자가 사용자에게 출처 증명을 제공할 수 있도록 합니다. npm CLI 출처 생성을 사용하면 사용자가 다운로드하고 사용하는 패키지가 귀하와 귀하가 빌드한 빌드 시스템에서 온 것인지 신뢰하고 검증할 수 있습니다.

npm 패키지를 게시하는 방법에 대한 자세한 내용은 GitLab npm 패키지 레지스트리를 참조하십시오.

Sigstore

Sigstore는 패키지 관리자 및 보안 전문가가 소프트웨어 공급망을 공격으로부터 보호하는 데 사용할 수 있는 도구 세트입니다. Fulcio, Cosign 및 Rekor와 같은 무료로 사용할 수 있는 오픈 소스 기술을 결합하여 디지털 서명, 검증 및 출처 확인을 처리하여 오픈 소스 소프트웨어를 보다 안전하게 배포하고 사용할 수 있도록 합니다.

관련 주제:

GitLab CI/CD에서 출처 생성하기

이제 Sigstore가 위에 설명된 GitLab OIDC를 지원하므로 npm 출처와 GitLab CI/CD 및 Sigstore를 함께 사용하여 GitLab CI/CD 파이프라인에서 npm 패키지에 대한 출처를 생성하고 서명할 수 있습니다.

필수 조건

  1. GitLab ID 토큰 aud를 sigstore로 설정합니다.

  2. npm publish에 --provenance 플래그를 추가합니다.

.gitlab-ci.yml 파일에 추가할 예시 내용:

image: node:latest

build:
  id_tokens:
    SIGSTORE_ID_TOKEN:
      aud: sigstore
  script:
    - npm publish --provenance --access public

npm GitLab 템플릿도 이 기능을 제공합니다. 예시는 템플릿 문서에 있습니다.

npm 출처 검증하기

npm CLI는 최종 사용자가 패키지의 출처를 검증할 수 있는 기능도 제공합니다.

npm audit signatures
audited 1 package in 0s
1 package has a verified registry signature

출처 메타데이터 검사하기

Rekor 투명성 로그는 출처와 함께 게시된 각 패키지에 대한 인증서와 증명을 저장합니다. 예를 들어, 아래 예제에 대한 항목을 확인하십시오.

npm에 의해 생성된 출처 문서의 예시:

_type: https://in-toto.io/Statement/v0.1
subject:
  - name: pkg:npm/%40strongjz/strongcoin@0.0.13
    digest:
      sha512: >-
        924a134a0fd4fe6a7c87b4687bf0ac898b9153218ce9ad75798cc27ab2cddbeff77541f3847049bd5e3dfd74cea0a83754e7686852f34b185c3621d3932bc3c8
predicateType: https://slsa.dev/provenance/v0.2
predicate:
  buildType: https://github.com/npm/CLI/gitlab/v0alpha1
  builder:
    id: https://gitlab.com/strongjz/npm-provenance-example/-/runners/12270835
  invocation:
    configSource:
      uri: git+https://gitlab.com/strongjz/npm-provenance-example
      digest:
        sha1: 6e02e901e936bfac3d4691984dff8c505410cbc3
      entryPoint: deploy
    parameters:
      CI: 'true'
      CI_API_GRAPHQL_URL: https://gitlab.com/api/graphql
      CI_API_V4_URL: https://gitlab.com/api/v4
      CI_COMMIT_BEFORE_SHA: 7d3e913e5375f68700e0c34aa90b0be7843edf6c
      CI_COMMIT_BRANCH: main
      CI_COMMIT_REF_NAME: main
      CI_COMMIT_REF_PROTECTED: 'true'
      CI_COMMIT_REF_SLUG: main
      CI_COMMIT_SHA: 6e02e901e936bfac3d4691984dff8c505410cbc3
      CI_COMMIT_SHORT_SHA: 6e02e901
      CI_COMMIT_TIMESTAMP: '2023-05-19T10:17:12-04:00'
      CI_COMMIT_TITLE: trying to publish to gitlab reg
      CI_CONFIG_PATH: .gitlab-ci.yml
      CI_DEFAULT_BRANCH: main
      CI_DEPENDENCY_PROXY_DIRECT_GROUP_IMAGE_PREFIX: gitlab.com:443/strongjz/dependency_proxy/containers
      CI_DEPENDENCY_PROXY_GROUP_IMAGE_PREFIX: gitlab.com:443/strongjz/dependency_proxy/containers
      CI_DEPENDENCY_PROXY_SERVER: gitlab.com:443
      CI_DEPENDENCY_PROXY_USER: gitlab-ci-token
      CI_JOB_ID: '4316132595'
      CI_JOB_NAME: deploy
      CI_JOB_NAME_SLUG: deploy
      CI_JOB_STAGE: deploy
      CI_JOB_STARTED_AT: '2023-05-19T14:17:23Z'
      CI_JOB_URL: https://gitlab.com/strongjz/npm-provenance-example/-/jobs/4316132595
      CI_NODE_TOTAL: '1'
      CI_PAGES_DOMAIN: gitlab.io
      CI_PAGES_URL: https://strongjz.gitlab.io/npm-provenance-example
      CI_PIPELINE_CREATED_AT: '2023-05-19T14:17:21Z'
      CI_PIPELINE_ID: '872773336'
      CI_PIPELINE_IID: '40'
      CI_PIPELINE_SOURCE: push
      CI_PIPELINE_URL: https://gitlab.com/strongjz/npm-provenance-example/-/pipelines/872773336
      CI_PROJECT_CLASSIFICATION_LABEL: ''
      CI_PROJECT_DESCRIPTION: ''
      CI_PROJECT_ID: '45821955'
      CI_PROJECT_NAME: npm-provenance-example
      CI_PROJECT_NAMESPACE: strongjz
      CI_PROJECT_NAMESPACE_ID: '36018'
      CI_PROJECT_PATH: strongjz/npm-provenance-example
      CI_PROJECT_PATH_SLUG: strongjz-npm-provenance-example
      CI_PROJECT_REPOSITORY_LANGUAGES: javascript,dockerfile
      CI_PROJECT_ROOT_NAMESPACE: strongjz
      CI_PROJECT_TITLE: npm-provenance-example
      CI_PROJECT_URL: https://gitlab.com/strongjz/npm-provenance-example
      CI_PROJECT_VISIBILITY: public
      CI_REGISTRY: registry.gitlab.com
      CI_REGISTRY_IMAGE: registry.gitlab.com/strongjz/npm-provenance-example
      CI_REGISTRY_USER: gitlab-ci-token
      CI_RUNNER_DESCRIPTION: 3-blue.shared.runners-manager.gitlab.com/default
      CI_RUNNER_ID: '12270835'
      CI_RUNNER_TAGS: >-
        ["gce", "east-c", "linux", "ruby", "mysql", "postgres", "mongo",
        "git-annex", "shared", "docker", "saas-linux-small-amd64"]
      CI_SERVER_HOST: gitlab.com
      CI_SERVER_NAME: GitLab
      CI_SERVER_PORT: '443'
      CI_SERVER_PROTOCOL: https
      CI_SERVER_REVISION: 9d4873fd3c5
      CI_SERVER_SHELL_SSH_HOST: gitlab.com
      CI_SERVER_SHELL_SSH_PORT: '22'
      CI_SERVER_URL: https://gitlab.com
      CI_SERVER_VERSION: 16.1.0-pre
      CI_SERVER_VERSION_MAJOR: '16'
      CI_SERVER_VERSION_MINOR: '1'
      CI_SERVER_VERSION_PATCH: '0'
      CI_TEMPLATE_REGISTRY_HOST: registry.gitlab.com
      GITLAB_CI: 'true'
      GITLAB_FEATURES: >-
        elastic_search,ldap_group_sync,multiple_ldap_servers,seat_link,usage_quotas,zoekt_code_search,repository_size_limit,admin_audit_log,auditor_user,custom_file_templates,custom_project_templates,db_load_balancing,default_branch_protection_restriction_in_groups,extended_audit_events,external_authorization_service_api_management,geo,instance_level_scim,ldap_group_sync_filter,object_storage,pages_size_limit,project_aliases,password_complexity,enterprise_templates,git_abuse_rate_limit,required_ci_templates,runner_maintenance_note,runner_performance_insights,runner_upgrade_management,runner_jobs_statistics
      GITLAB_USER_ID: '31705'
      GITLAB_USER_LOGIN: strongjz
    environment:
      name: 3-blue.shared.runners-manager.gitlab.com/default
      architecture: linux/amd64
      server: https://gitlab.com
      project: strongjz/npm-provenance-example
      job:
        id: '4316132595'
      pipeline:
        id: '872773336'
        ref: .gitlab-ci.yml
  metadata:
    buildInvocationId: https://gitlab.com/strongjz/npm-provenance-example/-/jobs/4316132595
    completeness:
      parameters: true
      environment: true
      materials: false
    reproducible: false
  materials:
    - uri: git+https://gitlab.com/strongjz/npm-provenance-example
      digest:
        sha1: 6e02e901e936bfac3d4691984dff8c505410cbc3