## 数字签名在云原生应用安全中的实践 小马哥 Agenda 1. 何为数字签名，数字签名为何？ 2. 为何要对容器镜像进行签名 3. 使用 cosign 对容器镜像进行签名验证 4. Demo show ## 一 段唯美爱情的悲伤结局！ 小美，等我 小美， 不要等我 KUBERNETES COMMUNITY DAYS DALIAN 截获 篡改 ## 什么是数字签名 什么是数字签名  ## 数字签名是一种数学技术，用于验证数字文档或消息的真实性、完整性和不可否认性。它是 手写签名或印章的数字等价物，用于建立发送者 数字签名是使用私钥创建的，该私钥仅由发送者文档或消息，公钥用于解密。这个过程确保只有能否认发送它。 它。 数字签名通常用于电子商务、在线银行和其他需法，用于确保电子文档和消息的真实性和完整性 防止数据被篡改，保证数据的完整性、机密性，从而提高安全性！ ## 数字签名的好处是什么  ## 数字签名的好处包括以下几个方面： 1. 身

SPECIAL CHARS ☐ STATUS URL ☐ TTF PATH ☐ URL PREFIX ☐ WEBLATE ADDONS ☐ WEBLATE FORMATS ☐ WEBLATE GPG IDENTITY ☐ WHOOSH INDEX Sample configuration Management commands ☐ Invoking management commands See also Supported formats ## WEBLATE_GPG_IDENTITY New in version 3.1. Identity which should be used by Weblate to sign Git commits, for example: WEBLATE_GPG_IDENTITY = 'Weblate GPG IDENTITY. Weblate will generate GnuPG key when needed and will use it to sign all translation commits

Boot）是利用公私钥对启动部件进行签名和验证。在启动过程中，前一个部件验证后一个部件的数字签名，如果能验证通过，则运行后一个部件；如果验证不通过，则停止启动。通过安全启动可以保证系统启动过程中各个部件的完整性，防止没有经过认证的部件被加载运行，从而防止对系统及用户数据产生安全威胁。 openEuler 在支持安全启动的基础上，还通过支持内核模块签名、IMA 文件完整性保护等机制，将基于数字签名的保护链路进一步延 启动阶段：BIOS->shim->grub->内核（EFI加载前进行签名校验）； 运行阶段（模块加载）：内核 -> 内核模块（模块插入时进行签名校验）； 运行阶段（文件访问）：内核 -> 文件（应用程序执行或普通文件访问时进行签名校验）； 运行阶段（软件包安装）：包管理组件 -> RPM 软件包（软件包安装时进行签名校验）。 ![Image](/uploads/document openEuler 社区建立以 PKI 为基础的软件构建签名体系，在软件构建阶段，自动为目标文件添加数字签名，并在关键组件中预置公钥证书，从而在用户安装 openEuler 镜像后，可以直接开启相关的签名校验机制，提升系统安全性。 openEuler Signatrust 是社区基础设施 SIG 组针对操作系统常见的签名场景推出的高效、便捷、安全的签名服务，可支持 openPGP 及 X509 体系的密钥管理，同时对接了

HTTPS 配置 设置 Fail2ban 反向代理 嵌入资源提取工具 配置说明 日志配置 邮件模板 仓库索引器 GPG 提交签名 外部渲染器 搜索引擎索引 自定义 Gitea 配置 添加法律页面 使用 ## Actions Gitea Actions 快速入门 Act 0|✓|✗|✓|✓|✓|✓|✓| |组织里程碑|✗|✗|✗|✓|✓|✗|✗| |细粒度用户角色|✓|✗|✗|✓|✓|✗|✗| |提交人的身份验证|/|✗|?|✓|✓|✓|✗| |GPG 签名的提交|✓|✗|✓|✓|✓|✓|✓| |SSH 签名的提交|✓|✗|✓|✓|✓|?|?| |拒绝未通过验证的提交|✓|✗|✓|✓|✓|✓|✓| |外部仓库迁移|✓|✗|✓|✓|✓|✓|✓| |仓库活跃度页面|✓|✗|✓|✓|✓|✓|✓| 对数据库连接进行加密，以防止第三方拦截流量数据。 ## 先决条件 - 您需要两个有效的 TLS 证书，一个用于数据库实例（数据库服务器），一个用于 Gitea 实例（数据库客户端）。两个证书都必须由受信任的 CA 签名。 - 数据库证书必须在 X509v3 Extended Key Usage 扩展属性中包含 TLS Web Server Authentication，而客户端证书则需要在相应的属性中包含 TLS

https://hub.docker.com/r/weblate/weblate/tags/ for full list of available ones.

标签名称	说明	用例
latest	Weblate stable release, matches latest tagged WEBLATE_AKISMET_API_KEY 配置Akismet API 密钥，请参见AKISMET_API_KEY。 WEBLATE_GPG_IDENTITY 配置提交的 GPG 签名，请参见WEBLATE_GPG_IDENTITY。 参见： 使用 GnuPG 为 Git 提交签名 WEBLATE_URL_PREFIX 配置 Weblate 运行的 URL 前缀，请参见URL_PREFIX。 WEBL WEBLATE SOCIAL AUTH SLACK KEY SOCIAL AUTH SLACK SECRET 允许 Slack 身份验证，请参见 Slack。 ## SAML 在第一次启动容器时自动产生自签名的 SAML 密钥。在您想要使用自己的密钥的情况下，将证书和私钥放置在 /app/data/ssl/saml.crt 和 :file:/app/data/ssl/saml.key 中。 WEBLATE 0 码力 | 465 页 | 7.88 MB | 2 年前 3 Weblate 4.14.1 用户文档 hub 标签 你可以在 Docker hub 上使用以下标签，请参阅 https://hub.docker.com/r/weblate/weblate/tags/，以获得完整的可用标签列表。 |标签名称|说明|用例| |---|---|---| |latest|与最新的标签版本相匹配的 Weblate 稳定发行版|在生产环境中滚动更新| |<version>-<patch>Weblate AKISMET API KEY 配置 Akismet API 密钥，请参见 AKISMET API KEY。 WEBLATE_GPG_IDENTITY 配置提交的 GPG 签名，请参见 WEBLATE_GPG_IDENTITY。 参见： 使用 GnuPG 为 Git 提交签名 WEBLATE URL PREFIX 配置 Weblate 运行的 URL 前缀，请参见 URL_PREFIX。 WEBLATE AUTH OIDC USERNAME KEY 配置通用 OpenID Connect 集成。 参见： OIDC (OpenID Connect) ## SAML 在第一次启动容器时会自动生成自签名的 SAML 密钥。如果您想要使用自己的密钥，请将证书和私钥分别放在 /app/data/ssl/saml.crt 和 /app/data/ssl/saml.key 中。 WEBLATE SAML 0 码力 | 496 页 | 8.13 MB | 2 年前 3 Weblate 4.16.2 用户文档 hub 标签 你可以在 Docker hub 上使用以下标签，请参阅 https://hub.docker.com/r/weblate/weblate/tags/，以获得完整的可用标签列表。 |标签名称|说明|用例| |---|---|---| |latest|与最新的标签版本相匹配的 Weblate 稳定发行版|在生产环境中滚动更新| |<version>-<pat>|Weblate AKISMET API KEY 配置 Akismet API 密钥，请参见 AKISMET API KEY。 ## WEBLATE GPG IDENTITY 配置提交的 GPG 签名，请参见 WEBLATE_GPG_IDENTITY。 参见： 使用 GnuPG 为 Git 提交签名 ## WEBLATE URL PREFIX 配置 Weblate 运行的 URL 前缀，请参见 URL_PREFIX。 AUTH OIDC USERNAME KEY 配置通用 OpenID Connect 集成。 参见： OIDC (OpenID Connect) ## SAML 在第一次启动容器时会自动生成自签名的 SAML 密钥。如果您想要使用自己的密钥，请将证书和私钥分别放在 /app/data/ssl/saml.crt 和 /app/data/ssl/saml.key 中。 WEBLATE SAML 0 码力 | 502 页 | 8.32 MB | 2 年前 3 Weblate 4.17 用户文档 hub 标签 你可以在 Docker hub 上使用以下标签，请参阅 https://hub.docker.com/r/weblate/weblate/tags/，以获得完整的可用标签列表。 |标签名称|说明|用例| |---|---|---| |latest|与最新的标签版本相匹配的 Weblate 稳定发行版|在生产环境中滚动更新| |<version>-<pat>|Weblate AKISMET API KEY 配置 Akismet API 密钥，请参见 AKISMET API KEY。 ## WEBLATE GPG IDENTITY 配置提交的 GPG 签名，请参见 WEBLATE_GPG_IDENTITY。 参见： 使用 GnuPG 为 Git 提交签名 ## WEBLATE URL PREFIX 配置 Weblate 运行的 URL 前缀，请参见 URL_PREFIX。 AUTH OIDC USERNAME KEY 配置通用 OpenID Connect 集成。 参见： OIDC (OpenID Connect) ## SAML 在第一次启动容器时会自动生成自签名的 SAML 密钥。如果您想要使用自己的密钥，请将证书和私钥分别放在 /app/data/ssl/saml.crt 和 /app/data/ssl/saml.key 中。 WEBLATE SAML 0 码力 | 506 页 | 8.37 MB | 2 年前 3 Weblate 4.14 用户文档 hub 标签 你可以在 Docker hub 上使用以下标签，请参阅 https://hub.docker.com/r/weblate/weblate/tags/，以获得完整的可用标签列表。 |标签名称|说明|用例| |---|---|---| |latest|与最新的标签版本相匹配的 Weblate 稳定发行版|在生产环境中滚动更新| |<version>-<patch>Weblate AKISMET API KEY 配置 Akismet API 密钥，请参见 AKISMET API KEY。 WEBLATE_GPG_IDENTITY 配置提交的 GPG 签名，请参见 WEBLATE_GPG_IDENTITY。 参见： 使用 GnuPG 为 Git 提交签名 WEBLATE URL PREFIX 配置 Weblate 运行的 URL 前缀，请参见 URL_PREFIX。 WEBLATE AUTH OIDC USERNAME KEY 配置通用 OpenID Connect 集成。 参见： OIDC (OpenID Connect) ## SAML 在第一次启动容器时会自动生成自签名的 SAML 密钥。如果您想要使用自己的密钥，请将证书和私钥分别放在 /app/data/ssl/saml.crt 和 /app/data/ssl/saml.key 中。 WEBLATE SAML 0 码力 | 496 页 | 8.12 MB | 2 年前 3 共 932 条 1 2 3 4 5 6 94 前往 页 相关搜索词 数字签名云原生应用安全容器镜像签名cosignKubernetes社区Weblate版本发布Docker部署Django框架GPG签名嵌入式系统内核安全签名虚拟化数据库签名接口序列化接口异常处理JSON Web Signature版本更新Gitea代码托管DevOps平台配置文件轻量级REST API翻译工作流术语表文件格式用户管理翻译工作版本控制项目管理用户资料版本控制集成访问控制批量编辑触发器API访问翻译项目翻译进程项目和部件