Claves de verificación

Verificar una imagen de contenedor

Las imágenes anteriores se verifican con cosign.pub; las imágenes firmadas a partir del 2026-11-04 se verifican con la clave de imagen que figura en el llavero que firma cosign.pub.

Las imágenes firmadas antes del 2026-11-04, como las imágenes de servicio de v1.0.0-RC1-20261029, se verifican con la clave de versión:

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

Imágenes firmadas a partir del 2026-11-04: compruebe el llavero con cosign.pub y la clave de imagen activa con su identificador en el llavero; después verifique la imagen por su digest con esa clave:

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt enumera cada clave de imagen por el SHA-256 de su archivo .pub, con su estado y su periodo de validez; use el archivo de clave de la línea active, hoy image-signing.pub.

Verificar el manifiesto de un bundle de versión

La clave de versión cosign.pub avala la clave de bundle: firma el llavero bundle-signing-keys.txt, que enumera bundle-signing.pub. Un bundle firmado con la clave de bundle se verifica mediante esa cadena; un bundle firmado directamente con la clave de versión, como v1.0.0-RC1-20261029, se verifica solo con cosign.pub.

Bundles firmados directamente con la clave de versión, como v1.0.0-RC1-20261029:

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops firma las versiones con la clave de versión indicada en esta página (cosign.pub) y no registra ninguna entrada en el registro de transparencia (Rekor), por lo que Cosign 3 requiere --insecure-ignore-tlog=true. La firma se sigue verificando con esta clave.

Bundles firmados con la clave de bundle: compruebe el llavero con cosign.pub y la clave de bundle activa con su identificador en el llavero:

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

Después, dentro del bundle, deje que el instalador compruebe toda la cadena: el llavero, la clave de bundle, las firmas de release-manifest.yaml y SHA256SUMS, y cada archivo que enumera SHA256SUMS. Indique el cosign.pub descargado, para que la copia del bundle se compare con él:

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt enumera cada clave de bundle por el SHA-256 de su archivo .pub, con su estado y su periodo de validez. La comprobación rechaza una clave revocada, una clave fuera de su periodo en el momento signedAt del manifiesto y cualquier archivo cuyo digest difiera; termina con 0 si la verificación es correcta, 1 si se rechaza y 3 para un bundle en el formato anterior, firmado con la clave de versión. tools/verify-bundle.py --require-bundle-signature comprueba la misma cadena. Estas comprobaciones llegan con los instaladores de los bundles firmados con la clave de bundle; los instaladores de v1.0.0-RC1-20261029 no las tienen.

Importar clave PGP

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

Si un mensaje o aviso no está firmado de manera verificable, trátalo como no confiable.