Ключове за верификация

Верификация на образ

По-старите образи се проверяват с cosign.pub; образите, подписани от 2026-11-04, се проверяват с ключа за образи от списъка с ключове, който cosign.pub подписва.

Образите, подписани преди 2026-11-04, например сервизните образи на v1.0.0-RC1-20261029, се проверяват с ключа за издания:

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

Образи, подписани от 2026-11-04: проверете списъка с ключове спрямо cosign.pub и активния ключ за образи спрямо идентификатора му в списъка, след това проверете образа по неговия digest с този ключ:

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt изброява всеки ключ за образи по SHA-256 на неговия файл .pub, със статуса и срока му на валидност; използвайте файла с ключ от реда active, в момента image-signing.pub.

Верификация на манифеста на пакет на издание

Ключът за издания cosign.pub гарантира ключа за пакети: той подписва списъка с ключове bundle-signing-keys.txt, в който е посочен bundle-signing.pub. Пакет, подписан с ключа за пакети, се проверява чрез тази верига; пакет, подписан директно с ключа за издания, например v1.0.0-RC1-20261029, се проверява само с cosign.pub.

Пакети, подписани директно с ключа за издания, например v1.0.0-RC1-20261029:

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops подписва изданията с ключа за издания, посочен на тази страница (cosign.pub), и не създава запис в журнала за прозрачност (Rekor), затова Cosign 3 изисква --insecure-ignore-tlog=true. Подписът пак се проверява спрямо този ключ.

Пакети, подписани с ключа за пакети: проверете списъка с ключове спрямо cosign.pub и активния ключ за пакети спрямо идентификатора му в списъка:

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

След това в пакета оставете инсталатора да провери цялата верига: списъка с ключове, ключа за пакети, подписите на release-manifest.yaml и SHA256SUMS и всеки файл, посочен в SHA256SUMS. Подайте изтегления cosign.pub, за да бъде сравнено копието в пакета с него:

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt изброява всеки ключ за пакети по SHA-256 на неговия файл .pub, със статуса и срока му на валидност. Проверката отхвърля отменен ключ, ключ извън срока си към момента signedAt на манифеста и всеки файл с различен digest; тя завършва с 0 при успех, 1 при отказ и 3 за пакет в предишния формат, подписан с ключа за издания. tools/verify-bundle.py --require-bundle-signature проверява същата верига. Тези проверки идват с инсталаторите на пакети, подписани с ключа за пакети; инсталаторите на v1.0.0-RC1-20261029 ги нямат.

Импорт на PGP ключ

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

Ако съобщение/адвайзъри не е проверимо подписано — третирайте го като непроверено.