Sigstore: Security next Level

Kubernetes 1.24 verwendet Sigstore, um sich gegen Supply-Chain-Attacken zu schützen. Sigstore ist damit ein wichtiger Baustein, um in Kubernetes SLSA-2-Compliance (https://slsa.dev/) zu erreichen.

Ein Sigstore-Setup besteht architektonisch aus den Komponenten Cosign, Fulcio, Rektor und OpenID Connect. Für einfache Signaturen wird bereits Cosign verwendet und unter anderem von der Registry Harbor unterstützt.

In diesem Vortrag zeigen wir neben der einfachen Verwendung von Cosign zum Signieren von Images ein vollständiges Sigstore-Setup. Wir werden uns darüber unterhalten, ob und warum das Konzept besser und weitreichender als beispielsweise das von Notary(v2) ist – beziehungsweise wie es sich davon unterscheidet.

Auch wird im Hands-on-Vortrag verdeutlicht, dass es in der Kubernetes-Praxis um weit mehr geht als das Signieren von Images. Es geht vielmehr darum, die komplette Software Supply Chain abzusichern.

Vorkenntnisse

Teilnehmende sollten sich mit Kubernetes grundlegend auskennen.

Lernziele

Teilnehmende sollen erkennen und verstehen, wie sich Kubernetes mit Sigstore gegen Supply-Chain-Attacken rüsten lässt.