Firmar imágenes y artefactos con Sigstore dejó de ser un experimento raro: proyectos como Kubernetes ya lo usan. El modelo keyless de cosign, Fulcio y Rekor elimina la gestión de claves privadas, pero solo protege de verdad si el despliegue verifica la identidad de quien firmó, no solo si existe una firma.
En 2023, la cadena de suministro de software fue el blanco favorito de los atacantes: MOVEit expuso datos de cientos de organizaciones por una vulnerabilidad 0-day, el instalador de 3CX llegó troyanizado a millones de usuarios, y npm y PyPI siguieron recibiendo paquetes maliciosos por typosquatting. La defensa práctica combina SBOM, firma de artefactos con Sigstore, niveles SLSA y escaneo continuo de dependencias.
5 min2894,4
Usamos cookies propias y de terceros para analizar el tráfico del sitio. Puedes aceptarlas, rechazarlas o configurar tu elección.
Más información sobre las cookies
Preferencias de cookies
NecesariasImprescindibles para el funcionamiento del sitio. Siempre activas.
AnalíticasNos ayudan a entender cómo se usa el sitio (Google Analytics).
