Supply chain : SLSA & Sigstore

Définition

Deux briques de sécurité de la chaîne d'approvisionnement logicielle. SLSA (« salsa », spécification v1.1 approuvée en avril 2025) définit des niveaux Build L1 à L3 : L1 une provenance existe, L2 le build tourne sur une plateforme hébergée qui signe la provenance, L3 la plateforme est isolée et durcie. Sigstore fournit l'outillage : Cosign signe images et artefacts, Fulcio délivre des certificats éphémères liés à une identité OIDC (signature « sans clé »), Rekor journalise chaque signature dans un registre public infalsifiable.

Analogie

SLSA est la norme qui dit ce qu'un bon tampon de traçabilité doit prouver ; Sigstore est le tampon lui-même, avec le registre public où chaque coup de tampon est consigné.

Exemple de code

# GitHub Actions : signer l'image sans clé (identité OIDC du workflow)
permissions:
  id-token: write      # jeton OIDC → certificat Fulcio
  packages: write
steps:
  - uses: sigstore/cosign-installer@v3
  - run: docker build -t ghcr.io/acme/api@${DIGEST} . && docker push ...
  - run: cosign sign --yes ghcr.io/acme/api@${DIGEST}
  # Vérification côté déploiement :
  # cosign verify ghcr.io/acme/api@${DIGEST} \
  #   --certificate-identity-regexp 'github.com/acme/.*' \
  #   --certificate-oidc-issuer https://token.actions.githubusercontent.com

Cas d'usage

Prouver qu'une image déployée en production a bien été construite par votre CI depuis votre dépôt, et bloquer tout artefact non signé à l'admission.

Anti-pattern

Termes liés

Sources

• slsa.dev/spec/v1.1/
• docs.sigstore.dev/cosign/signing/overview/