O Que É o Rekor Transparency Log?
O Rekor é o componente de log de transparência do Sigstore, um livro-razão append-only que evidencia adulteração e registra entradas para assinaturas e attestations. Uma vez que uma entrada é registrada, ela não pode ser alterada ou removida silenciosamente, então qualquer um pode mais tarde provar que uma assinatura existiu em um ponto no tempo. Ele traz as ideias de certificate transparency para a assinatura de software.
Por que isso importa
Uma assinatura sozinha não prova quando foi feita nem que não foi trocada. Registrá-la no Rekor produz um registro público e imutável contra o qual os verificadores podem conferir, fechando a lacuna que os certificados de assinatura de curta duração de outra forma abririam. Isso torna possível a auditoria posterior das assinaturas de build.