Seminar Sigstore Architektur und Supply Chain Security

Seminarbeschreibung

Das Seminar bietet den systematischen Einstieg in Sigstore als Sicherheitsarchitektur für Softwareartefakte. Es erklärt, wie Signaturen, Identitäten, kurzlebige Zertifikate und Transparenzlog-Nachweise zusammenwirken und wie daraus belastbare Prüfprozesse entstehen.

Inhaltsübersicht

• Bedrohungsbild der Software-Supply-Chain
• Sigstore-Komponenten und Verantwortlichkeiten
• Signatur- und Verifikationskette
• Identitäten statt langfristiger Schlüssel
• Einordnung in Entwicklungs- und Betriebsprozesse

Zielgruppe

• IT-Architekten
• Security Engineers
• DevOps-Verantwortliche
• Plattformteams
• technische Entscheider

Voraussetzungen

Erforderlich sind Grundkenntnisse zu Softwarebereitstellung, Container-Images und Sicherheitsprozessen. Tiefes Vorwissen zu Sigstore ist nicht erforderlich.

Seminarinhalte

Kapitel 1: Einordnung von Sigstore

Inhaltsverzeichnis dieses Kapitels:

• Zweck und Grenzen des Einsatzgebiets
• Rollen der beteiligten Komponenten
• Risiken klassischer Signaturprozesse

Das Kapitel ordnet Sigstore in eine belastbare Software-Supply-Chain ein. Herausgearbeitet werden Identitäten, Signaturen, Transparenznachweise und Prüfregeln als zusammenhängende Sicherheitskontrolle statt als einzelnes Werkzeug.

Schrittfolge:

1. Ausgangslage und Schutzbedarf erfassen
2. Artefaktarten und Freigabepunkte bestimmen
3. benötigte Sigstore-Komponenten zuordnen
4. Prüfpunkte für Build, Release und Deployment festlegen

Kapitel 2: Werkzeuge, Vertrauensanker und Identitäten

Inhaltsverzeichnis dieses Kapitels:

• cosign als Signaturwerkzeug
• Fulcio, Rekor und Trust Root
• Identitäten für Benutzer und Maschinen

Die relevanten Bestandteile werden installiert, geprüft und für reproduzierbare Laboraufgaben vorbereitet. Der Schwerpunkt liegt auf cosign, Fulcio, Rekor, Trust Root und auf der Frage, welche Identität im späteren Betrieb tatsächlich vertrauenswürdig ist.

Schrittfolge:

1. Laborumgebung prüfen
2. cosign-Verfügbarkeit testen
3. Trust-Root-Material einordnen
4. Identitätsattribute für die Verifikation festlegen

Kapitel 3: Architekturmodell und Prüfprozess

Inhaltsverzeichnis dieses Kapitels:

• Schutzbedarf einer Lieferkette beschreiben
• Komponenten den Prozessschritten zuordnen
• Signaturkette grafisch nachvollziehen
• Verifikationsentscheidung formulieren

Dieses Kapitel führt vom Konzept in die technische Umsetzung. Jeder Schritt wird nachvollziehbar ausgeführt, kontrolliert und auf typische Fehlerbilder geprüft.

Schrittfolge:

1. Schutzbedarf einer Lieferkette beschreiben
2. Komponenten den Prozessschritten zuordnen
3. Signaturkette grafisch nachvollziehen
4. Verifikationsentscheidung formulieren
5. Betriebsrollen festlegen
6. nächste Einführungsschritte ableiten

Kapitel 4: Prüfung, Automatisierung und Betrieb

Inhaltsverzeichnis dieses Kapitels:

• Verifikationsregeln
• Automatisierte Gates
• Auditierbare Nachweise
• Betriebsgrenzen

Zum Abschluss werden Prüfungen so gestaltet, dass sie nicht nur im Labor, sondern auch in regulären Entwicklungs- und Plattformprozessen funktionieren. Im Mittelpunkt stehen wiederholbare Kontrollen, klare Fehlermeldungen und prüfbare Nachweise.

Schrittfolge:

1. Verifikation lokal ausführen
2. Policy-Regeln formulieren
3. Automatisierungspunkt in Pipeline oder Plattform bestimmen
4. Fehlerfälle dokumentieren und Betriebsnotizen erstellen

Praxisübungen und Laboraufgaben

Die Übungen verbinden Architektur und Praxis. Es wird kein Produktivsystem vorausgesetzt.

1. Artefaktfluss vom Build bis zur Nutzung skizzieren
2. Sigstore-Komponenten an den richtigen Stellen eintragen
3. Beispielsignatur erzeugen
4. Verifikationsanforderung formulieren
5. Einführungspfad für ein Pilotprojekt erstellen