Zusammenfassung

  • Die Signatur belegt eine kryptografische Beziehung, keine dauerhafte Freigabebefugnis.
  • Eine belastbare Annahme verbindet Identität, Rolle, Zeit, Transparenz und Widerruf.

Der grüne Haken nach dem Rollenwechsel

RFC 5280 bindet Pfadvalidierung an Vertrauensanker, Richtlinie und Zeitpunkt. RFC 3161 bindet einen Hash an vertrauenswürdige Zeit; RFC 6962 liefert Aufnahme- und Konsistenznachweise. Keiner dieser Mechanismen kennt allein die Freigabematrix des Projekts. Auch Sigstore trennt Identitätszertifikat, Transparenzprotokoll und Verifikationsrichtlinie. Der Annahmedatensatz muss Digest, Signatur, Identität, Aussteller, autorisierte Rolle, Freigabe, Kette, Zeitpunkt, Lognachweis und Widerrufsmaterial verbinden.

Quellen