Mit Unterstützung von Red Hat, Google und der Purdue University hat die Linux-Foundation ein neues Projekt Namens Sigstore gestartet. Es soll Entwicklern von freier Software helfen, ihre Software-Bestandteile ordentlich kryptografisch zu signieren.
Die Linux Foundation sieht das Management von Keys als einen Hemmschuh für die kryptographische Signatur von freier Software. Viele Entwickler würden diese Herausforderung scheuen, die bei der Verwaltung und Erzeugung der Schlüssel anfange und bis zur Weitergabe der Public Keys und deren Speicherung auf Webseiten, die anfällig für Hacks seien.
Als Resultat stünden Nutzer dann auf verlorenem Posten bei der Frage, welchen Schlüsseln sie trauen können. Mit dem Sigstore Project will die Foundation eine einfache Möglichkeit anbieten, Software-Artefakte wie Release-Dateien, Container-Images und Builds zu signieren. Die nötigen Materialien sollen in einem manipulationssicheren öffentlichen Log gespeichert werden. Das Sigstore Projekt stelle seinen Code und die zugehörigen Services Entwicklern frei zur Verfügung. Die Gründungsmitglieder Red Hat, Google und der Purdue University zeigen sich zuversichtlich, dass mit der Initiative das Vertrauen in freie Software steigen werde. Die Sigstore-Webseite liefert weitere Informationen.
