Signierte Simplifier-Container-Images verifizieren

Seit Simplifier Makers Choice 2508 werden die offiziellen Simplifier-Docker-Images mit Cosign kryptografisch signiert. Dadurch wird sichergestellt, dass die von Ihnen verwendeten Images authentisch sind und nicht verändert wurden.

Warum Container Signing?

– Authentizität: Bestätigt, dass das Bild von der Simplifier AG stammt

– Integrität: Garantiert, dass das Bild nach dem Signieren nicht verändert wurde

– Transparenz: Unterschriften werden in einem öffentlichen Transparenzprotokoll gespeichert

– Fälschungssicherheit: Verhindert gefälschte oder verweigerte Unterschriften

Was brauchen Sie?

1) Der öffentliche Schlüssel des Vereinfachers (simplifier.pub) – bereitgestellt von Simplifier AG

2) Das Cosign-Tool – über Docker (keine Installation) oder lokal installiert

Wichtig: Überprüfen Sie die Authentizität des öffentlichen Schlüssels vor der ersten Verwendung immer mit Simplifier AG.

Beschaffung des öffentlichen Schlüssels

– Kontaktieren Sie den Simplifier AG Support für das offizielle simplifier.pub Datei

– Validierung der Authentizität des Schlüssels über offizielle Kanäle

Schnelle Verifizierung (Docker – keine Installation)

Verwenden Sie das offizielle Cosign Docker-Image:

# Speichern Sie den öffentlichen Schlüssel von Simplifier in 'simplifier.pub'.

# Überprüfen Sie das neueste Maker-Choice-Image.
docker run --rm -v $(pwd):/workspace \
  gcr.io/projectsigstore/cosign:latest \
  verify --key /workspace/simplifier.pub --insecure-ignore-tlog \
  docker.io/simplifierag/simplifier:2508

Lokale Cosign-Installation

Wenn Sie Cosign auf Ihrem System installiert haben:

cosign verify --key simplifier.pub --insecure-ignore-tlog docker.io/simplifierag/simplifier:2508

Detaillierte Schritte

1) Speichern Sie den öffentlichen Schlüssel in einer Datei namens simplifier.pub mit den von der Simplifier AG bereitgestellten Inhalten:

-----BEGIN PUBLIC KEY-----
[Base64-verschlüsselter Inhalt]
-----END PUBLIC KEY-----

Mitzeichnung installieren (lokal)

Linux:

curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64"
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
sudo chmod +x /usr/local/bin/cosign

macOS:

brew install cosign

Fenster:

Herunterladen von: Cosign GitHub Releases

Überprüfung der Ausgabe

Erfolgreiche Überprüfung:

Überprüfung für docker.io/itizzimo/simplifier:latest --
Die folgenden Prüfungen wurden für jede dieser Unterschriften durchgeführt:
  - Die Behauptungen über die Mitzeichnung wurden validiert
  - Die Signaturen wurden anhand des angegebenen öffentlichen Schlüssels geprüft

Signierte Bilder

Produktion:

– docker.io/simplifierag/simplifier:2508

Sicherheitsempfehlungen

– Überprüfen Sie immer, bevor Sie ein Image ausführen

– Den öffentlichen Schlüssel sicher aufbewahren

– Überprüfung in CI/CD-Pipelines einbeziehen

Brauchen Sie Hilfe?

– Ausführliche Ausgabe prüfen mit -o json für weitere Einzelheiten

– Sicherstellung des Internetzugangs (erforderlich für Signaturdaten)

– Wenden Sie sich bei anhaltenden Problemen an den Simplifier-Support