Signierte Simplifier-Container-Images verifizieren

Da die offiziellen Simplifier Docker-Images von Simplifier Makers Choice 2508 kryptografisch mit Cosign signiert sind. Dadurch wird sichergestellt, dass die verwendeten Bilder authentisch sind und nicht verändert wurden.

Warum Container-Signierung?

– Echtheit: Bestätigt, dass das Image von Simplifier AG stammt

– Integrität: Garantiert, dass das Image nach der Signierung nicht verändert wurde

– Transparenz: Signaturen werden in einem öffentlichen Transparenz-Log gespeichert

– Nichtabstreitbarkeit: Verhindert gefälschte oder abgelehnte Signaturen

Was benötigst du?

1) Der öffentliche Simplifier-Schlüssel (simplifier.pub) — bereitgestellt von Simplifier AG

2) Das Cosign-Tool – über Docker (keine Installation) oder lokal installiert

Wichtig: Überprüfen Sie immer die Echtheit des öffentlichen Schlüssels mit Simplifier AG vor dem ersten Gebrauch.

Öffentlichen Schlüssel erhalten

– Wenden Sie sich an den Simplifier AG Support, um den offiziellen simplifier.pub -Datei

– Validieren die Schlüsselauthentizität über offizielle Kanäle

Schnelle Verifizierung (Docker – Keine Installation)

Verwende das offizielle Cosign Docker Image:

# Speichern Sie den öffentlichen Simplifier-Schlüssel unter 'simplifier.pub'

# Verifiziere das neueste Makers Choice Image
docker run --rm -v $(pwd):/workspace 
  gcr.io/projectsigstore/cosign:latest 
  verify --key /workspace/simplifier.pub --insecure-ignore-tlog 
  docker.io/simplifierag/simplifier:2508

Lokale Cosign-Installation

Wenn du Cosign auf deinem System installiert hast:

cosign verify --key simplifier.pub --insecure-ignore-tlog docker.io/simplifierag/simplifier:2508

Detaillierte Schritte

1) Speichere den öffentlichen Schlüssel in einer Datei namens simplifier.pub mit dem von Simplifier AG bereitgestellten Inhalt:

-----BEGIN PUBLIC KEY-----
[Base64 encoded content]
-----END PUBLIC KEY-----

Cosign installieren (Lokal)

Linux:

curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64"
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
sudo chmod +x /usr/local/bin/cosign

macOS:

brew install cosign

Windows:

Herunterladen von: Cosign GitHub Releases

Verifizierungsausgabe

Erfolgreiche Verifizierung:

Verifizierung für docker.io/itizzimo/simplifier:latest --
Die folgenden Prüfungen wurden für jede dieser Signaturen durchgeführt:
  - Die Cosign-Ansprüche wurden validiert
  - Die Signaturen wurden mit dem angegebenen öffentlichen Schlüssel verifiziert

Signierte Images

Produktion:

– docker.io/simplifierag/simplifier:2508

Sicherheitsempfehlungen

– Verifiziere immer, bevor du ein Image ausführst

– Speichere den öffentlichen Schlüssel sicher

– Integriere die Verifizierung in CI/CD-Pipelines

Brauchst du Hilfe?

– Überprüfe die ausführliche Ausgabe mit -o json für weitere Details

– Stelle den Internetzugang sicher (für Signaturdaten erforderlich)

– Wenden Sie sich an den Simplifier-Support, wenn weiterhin Probleme auftreten