sigstore: la firma del software senza la chiave da custodire

sigstore è il progetto che ha reso praticabile una cosa che la sicurezza predicava da decenni senza riuscire a farla adottare: firmare il software, per poter dimostrare chi lo ha prodotto e che non è stato manomesso. L’idea della firma digitale degli artefatti è sempre stata giusta, ma nella pratica è rimasta marginale per una ragione molto concreta: gestire una chiave privata di firma è difficile e pericoloso. Va generata, protetta per anni, ruotata, e se trapela tutto ciò che è stato firmato con essa diventa sospetto. Quella frizione ha tenuto la firma del software fuori dalla portata della ...

Leggi l'articolo completo originale qui