## 数字签名在云原生应用安全中的实践 小马哥 Agenda 1. 何为数字签名，数字签名为何？ 2. 为何要对容器镜像进行签名 3. 使用 cosign 对容器镜像进行签名验证 4. Demo show ## 一 段唯美爱情的悲伤结局！ 小美，等我 小美， 不要等我 KUBERNETES COMMUNITY DAYS DALIAN 截获 篡改 ## 什么是数字签名 .jpg) sigstore cosign ## sigstore fulcio ## sigstore rekor cosign.pub (public key) sign  cosign.key (private key) 6598b62c8d5515/p10_1.jpg) ## sigstore cosign Signing OCI containers (and other artifacts) using Sigstore! ## ☀️ ☀️ ☁️ 1 # Generate key pair 2 3 $ cosign generate-key-pair 4 Enter password for private

Trust（DCT）已进入弃用阶段：2025年8月8日起最早的DCT签名证书开始过期，2025年9月30日起不能在新Registry启用DCT，2028年3月31日将完全删除此功能。不建议作为新项目方案。 注意：Cosign默认会把签名推送回镜像所在仓库，请使用你有推送权限的镜像地址。 ## 准备一个你有写权限的镜像地址 $ export IMAGE=<你的仓库名>/nginx:1.28 $ docker docker push $IMAGE ## 生成签名密钥（会生成 cosign.key / cosign.pub） $ cosign generate-key-pair ## 使用 Cosign 签名与验证 $ cosign sign --key cosign.key $IMAGE $ cosign verify --key cosign.pub $IMAGE 漏洞扫描 ## 使用 Docker

⚠ 需要评估 镜像签名 当前更推荐使用 Sigstore/Notation体系进行镜像签名与验证。Docker Content Trust（DCT）已进入退场阶段，不建议作为新项目主方案。 注意：Cosign默认会把签名写回镜像所在仓库，请使用你有推送权限的镜像地址。 ## 准备一个你有写权限的镜像地址 $ export IMAGE=<你的仓库名>/nginx:1.27 $ docker docker push $IMAGE ## 生成签名密钥（会生成 cosign.key / cosign.pub） $ cosign generate-key-pair ## 使用 Cosign 签名与验证 $ cosign sign --key cosign.key $IMAGE $ cosign verify --key cosign.pub $IMAGE 漏洞扫描 ## 使用 Docker

注意：Cosign默认会把签名写回镜像所在仓库，请使用你有推送权限的镜像地址。 准备一个你有写权限的镜像地址 $ export IMAGE=<你的仓库名>/nginx:1.27 $ docker pull nginx:1.27 $ docker tag nginx:1.27 $IMAGE $ docker push $IMAGE 生成签名密钥 (会生成 cosign.key key / cosign.pub) $ cosign generate-key-pair 使用 Cosign 签名与验证 $ cosign sign --key cosign.key $IMAGE $ cosign verify --key cosign.pub $IMAGE 漏洞扫描 ## 使用 Docker Scout 扫描镜像漏洞 $ docker scout cves nginx:latest

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuthn, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuth, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuth, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuth, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuth, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets

sign-on solutions such as IIS and Integrated Windows Authentication or Apache and mod_authnz_ldap, CAS, Cosign, WebAuth, mod_auth_sspi, etc. When the Web server takes care of authentication it typically sets