Sigstore/Cosign离线验证机制深度解析与技术实践

核心问题背景

在私有化部署的Sigstore环境中（如Red Hat Trusted Artifact Signer），用户在执行容器镜像离线验证时遭遇证书验证失败问题。典型错误表现为"x509: certificate signed by unknown authority"，其本质是验证环节未能正确加载私有部署的信任链材料。

技术原理剖析

Sigstore的验证体系依赖三大核心信任锚点：

1. Fulcio根证书：用于验证代码签名证书的合法性
2. Rekor公钥：验证透明度日志条目签名
3. CT日志公钥（可选）：验证证书透明度日志记录

在私有部署场景中，这些信任材料与企业自建的PKI体系绑定，必须显式配置才能建立可信验证路径。

完整离线验证流程

阶段一：环境初始化

# 关键环境变量配置（示例）
export COSIGN_FULCIO_URL="https://私有Fulcio服务地址"
export COSIGN_REKOR_URL="https://私有Rekor服务地址" 
export COSIGN_OIDC_ISSUER="https://OIDC身份提供商地址"

阶段二：在线签名与验证

# 标准在线验证流程
cosign sign --identity-token=令牌 镜像地址@摘要
cosign verify --certificate-identity=预期身份 镜像地址@摘要

阶段三：离线验证准备

1. 信任材料导出：

   • 从私有部署获取：
     • Fulcio根证书（通常为root.json）
     • Rekor公钥
     • CT日志公钥（如启用）

2. 镜像签名数据保存：

cosign save 镜像地址@摘要 --dir 本地目录 \
  --registry-username=用户名 \
  --registry-password=密码

阶段四：离线验证执行

# 必须配置的验证材料
export SIGSTORE_ROOT_FILE=/path/to/root.json
export SIGSTORE_REKOR_PUBLIC_KEY=/path/to/rekor-pubkey
export SIGSTORE_CT_LOG_PUBLIC_KEY_FILE=/path/to/ct-pubkey  # 如适用

cosign verify --offline --local-image 本地目录 \
  --certificate-identity="预期身份" \
  --certificate-oidc-issuer-regexp=".*"

关键注意事项

1. TUF仓库的特殊处理：

   • 若私有部署包含TUF仓库，应使用cosign initialize --mirror初始化本地信任库
   • 否则必须手动配置所有信任锚点文件

2. 身份验证策略：

   • 离线验证时建议放宽OIDC颁发者校验（使用--certificate-oidc-issuer-regexp）
   • 生产环境应严格匹配颁发者URL

3. 证书链完整性：

   • 确保导出的root.json包含完整的中间证书链
   • 可使用openssl verify -CAfile预先测试证书链

典型问题排查指南

错误现象	可能原因	解决方案
x509未知颁发机构	未加载Fulcio根证书	检查SIGSTORE_ROOT_FILE路径
Rekor条目验证失败	公钥不匹配	确认使用私有部署的Rekor公钥
OIDC颁发者不匹配	离线环境策略过严	调整regexp或明确指定issuer

进阶实践建议

对于企业级部署，建议：

1. 构建自定义的信任材料分发机制
2. 将验证锚点文件嵌入CI/CD系统基础镜像
3. 定期轮换密钥并更新验证材料

通过正确配置信任锚点和理解Sigstore的验证逻辑，可以建立完善的离线验证体系，满足隔离环境下的软件供应链安全需求。