Кратко

  • Подпись доказывает ограниченную криптографическую связь, а не постоянные полномочия.
  • Долговечное решение связывает личность, роль, время, прозрачность и отзыв.

Зелёная отметка после смены роли

RFC 5280 ограничивает проверку якорем доверия, политикой и временем. RFC 3161 связывает хеш с доверенным временем, а RFC 6962 даёт доказательства включения и согласованности. Ни один механизм сам не хранит матрицу одобрений проекта. Sigstore также разделяет сертификат личности, журнал прозрачности и политику проверки. Запись приёмки должна связывать хеш артефакта, подпись, личность, издателя, разрешённую роль, одобрение, цепочку, время, доказательство журнала и данные об отзыве.

Источники