Una firma de software válida no es un registro duradero de autoridad

Resumen

• La firma prueba una relación criptográfica, no una autorización permanente.
• La aceptación debe conservar identidad, función, tiempo, transparencia y revocación.

El visto bueno que sobrevive al cargo

Un artefacto puede seguir verificándose después de que cambie el puesto del mantenedor. RFC 5280 evalúa una ruta bajo una política y un tiempo definidos. RFC 3161 fija una huella a un tiempo confiable. RFC 6962 aporta inclusión y consistencia en un registro. Ninguno codifica por sí solo la autorización interna del proyecto. Sigstore también separa certificados de identidad, registro público y política de verificación.

El expediente duradero une huella, firma, identidad, emisor, función autorizada, aprobación, cadena, tiempo, prueba de transparencia y material de revocación.

Fuentes

• https://www.rfc-editor.org/rfc/rfc5280
• https://www.rfc-editor.org/rfc/rfc3161
• https://www.rfc-editor.org/rfc/rfc6962
• https://www.rfc-editor.org/rfc/rfc9162
• https://docs.sigstore.dev/certificate_authority/overview/
• https://docs.sigstore.dev/logging/overview/
• https://docs.sigstore.dev/cosign/verifying/verify/