Verifizierungsschlüssel

Container-Image überprüfen

Ältere Images werden mit cosign.pub überprüft; Images, die ab dem 2026-11-04 signiert werden, mit dem Image-Schlüssel aus dem Schlüsselbund, den cosign.pub signiert.

Images, die vor dem 2026-11-04 signiert wurden, etwa die Service-Images von v1.0.0-RC1-20261029, werden mit dem Release-Schlüssel überprüft:

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

Images, die ab dem 2026-11-04 signiert werden: den Schlüsselbund gegen cosign.pub und den aktiven Image-Schlüssel gegen seine ID im Schlüsselbund prüfen, dann das Image per Digest mit diesem Schlüssel überprüfen:

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt führt jeden Image-Schlüssel mit dem SHA-256 seiner .pub-Datei, seinem Status und seinem Gültigkeitszeitraum auf; verwenden Sie die Schlüsseldatei in der Zeile active, derzeit image-signing.pub.

Manifest eines Release-Bundles überprüfen

Der Release-Schlüssel cosign.pub bürgt für den Bundle-Schlüssel: Er signiert den Schlüsselbund bundle-signing-keys.txt, der bundle-signing.pub aufführt. Ein mit dem Bundle-Schlüssel signiertes Bundle wird über diese Kette überprüft; ein direkt mit dem Release-Schlüssel signiertes Bundle wie v1.0.0-RC1-20261029 wird allein mit cosign.pub überprüft.

Direkt mit dem Release-Schlüssel signierte Bundles wie v1.0.0-RC1-20261029:

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops signiert Releases mit dem auf dieser Seite aufgeführten Release-Schlüssel (cosign.pub) und legt keinen Transparency-Log-Eintrag (Rekor) an, daher benötigt Cosign 3 --insecure-ignore-tlog=true. Die Signatur wird trotzdem gegen diesen Schlüssel geprüft.

Mit dem Bundle-Schlüssel signierte Bundles: den Schlüsselbund gegen cosign.pub und den aktiven Bundle-Schlüssel gegen seine ID im Schlüsselbund prüfen:

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

Lassen Sie dann im Bundle den Installer die ganze Kette prüfen: den Schlüsselbund, den Bundle-Schlüssel, die Signaturen von release-manifest.yaml und SHA256SUMS und jede Datei, die SHA256SUMS aufführt. Übergeben Sie die heruntergeladene cosign.pub, damit die Kopie im Bundle mit ihr verglichen wird:

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt führt jeden Bundle-Schlüssel mit dem SHA-256 seiner .pub-Datei, seinem Status und seinem Gültigkeitszeitraum auf. Die Prüfung lehnt einen widerrufenen Schlüssel ab, einen Schlüssel außerhalb seines Zeitraums zum signedAt-Zeitpunkt des Manifests und jede Datei mit abweichendem Digest; sie endet mit 0 bei Erfolg, 1 bei Ablehnung und 3 für ein Bundle im früheren Format mit dem Release-Schlüssel. tools/verify-bundle.py --require-bundle-signature prüft dieselbe Kette. Diese Prüfungen kommen mit den Installern von Bundles, die mit dem Bundle-Schlüssel signiert sind; die Installer von v1.0.0-RC1-20261029 haben sie nicht.

PGP-Schlüssel importieren

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

Wenn eine Nachricht oder Empfehlung nicht nachweislich signiert ist, behandeln Sie sie als nicht vertrauenswürdig.