مفاتيح التحقق

التحقق من صورة الحاوية

يُتحقَّق من الصور الأقدم باستخدام cosign.pub؛ أما الصور الموقّعة اعتبارًا من 2026-11-04 فيُتحقَّق منها بمفتاح الصور المدرج في حلقة المفاتيح التي يوقّعها cosign.pub.

يُتحقَّق من الصور الموقّعة قبل 2026-11-04، مثل صور خدمات v1.0.0-RC1-20261029، بمفتاح الإصدار:

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

الصور الموقّعة اعتبارًا من 2026-11-04: تحقّق من حلقة المفاتيح مقابل cosign.pub، ومن مفتاح الصور النشط مقابل معرّفه في الحلقة، ثم تحقّق من الصورة بملخّصها (digest) باستخدام هذا المفتاح:

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

يسرد الملف image-signing-keys.txt كل مفتاح صور بقيمة SHA-256 لملف .pub الخاص به، مع حالته وفترة صلاحيته؛ استخدم ملف المفتاح الوارد في السطر active، وهو حاليًا image-signing.pub.

التحقق من بيان حزمة الإصدار

يضمن مفتاح الإصدار cosign.pub مفتاح الحزم: فهو يوقّع حلقة المفاتيح bundle-signing-keys.txt التي تدرج bundle-signing.pub. يُتحقَّق من الحزمة الموقّعة بمفتاح الحزم عبر هذه السلسلة؛ أما الحزمة الموقّعة مباشرة بمفتاح الإصدار، مثل v1.0.0-RC1-20261029، فيُتحقَّق منها باستخدام cosign.pub وحده.

الحزم الموقّعة مباشرة بمفتاح الإصدار، مثل v1.0.0-RC1-20261029:

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

توقّع Stella Ops الإصدارات بمفتاح الإصدار المدرج في هذه الصفحة (cosign.pub) ولا تسجّل أي إدخال في سجل الشفافية (Rekor)، لذلك يتطلب Cosign 3 الخيار --insecure-ignore-tlog=true. ويظل التحقق من التوقيع يجري مقابل هذا المفتاح.

الحزم الموقّعة بمفتاح الحزم: تحقّق من حلقة المفاتيح مقابل cosign.pub، ومن مفتاح الحزم النشط مقابل معرّفه في الحلقة:

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

ثم دع المثبّت داخل الحزمة يتحقق من السلسلة كاملة: حلقة المفاتيح، ومفتاح الحزم، وتوقيعَي release-manifest.yaml وSHA256SUMS، وكل ملف يدرجه SHA256SUMS. مرِّر ملف cosign.pub الذي نزّلته، لتُقارَن به النسخة الموجودة في الحزمة:

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

يسرد الملف bundle-signing-keys.txt كل مفتاح حزم بقيمة SHA-256 لملف .pub الخاص به، مع حالته وفترة صلاحيته. يرفض التحقق المفتاح الملغى، والمفتاح الواقع خارج فترته عند وقت signedAt في البيان، وأي ملف يختلف ملخّصه؛ وينتهي بالرمز 0 عند النجاح، و1 عند الرفض، و3 للحزمة ذات التنسيق السابق الموقّعة بمفتاح الإصدار. ويتحقق tools/verify-bundle.py --require-bundle-signature من السلسلة نفسها. تأتي هذه الفحوص مع مثبّتات الحزم الموقّعة بمفتاح الحزم؛ ومثبّتات v1.0.0-RC1-20261029 لا تتضمنها.

استيراد مفتاح PGP

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

إذا لم يتم التوقيع على رسالة أو استشارة بشكل يمكن التحقق منه، فتعامل معها على أنها غير موثوق بها.