Clés de vérification

Vérifier une image de conteneur

Les images plus anciennes se vérifient avec cosign.pub ; les images signées à partir du 2026-11-04 se vérifient avec la clé d'image inscrite dans le trousseau que cosign.pub signe.

Les images signées avant le 2026-11-04, comme les images de service de v1.0.0-RC1-20261029, se vérifient avec la clé de version :

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

Images signées à partir du 2026-11-04 : vérifiez le trousseau avec cosign.pub et la clé d'image active avec son identifiant dans le trousseau, puis vérifiez l'image par son digest avec cette clé :

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt liste chaque clé d'image par le SHA-256 de son fichier .pub, avec son statut et sa période de validité ; utilisez le fichier de clé de la ligne active, aujourd'hui image-signing.pub.

Vérifier le manifeste d'un bundle de version

La clé de version cosign.pub se porte garante de la clé de bundle : elle signe le trousseau bundle-signing-keys.txt, qui liste bundle-signing.pub. Un bundle signé avec la clé de bundle se vérifie par cette chaîne ; un bundle signé directement avec la clé de version, comme v1.0.0-RC1-20261029, se vérifie avec cosign.pub seule.

Bundles signés directement avec la clé de version, comme v1.0.0-RC1-20261029 :

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops signe les versions avec la clé de version indiquée sur cette page (cosign.pub) et n'enregistre aucune entrée dans le journal de transparence (Rekor) ; Cosign 3 exige donc --insecure-ignore-tlog=true. La signature est tout de même vérifiée avec cette clé.

Bundles signés avec la clé de bundle : vérifiez le trousseau avec cosign.pub et la clé de bundle active avec son identifiant dans le trousseau :

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

Ensuite, dans le bundle, laissez l'installeur vérifier toute la chaîne : le trousseau, la clé de bundle, les signatures de release-manifest.yaml et de SHA256SUMS, et chaque fichier que liste SHA256SUMS. Indiquez le cosign.pub téléchargé, pour que la copie du bundle soit comparée avec lui :

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt liste chaque clé de bundle par le SHA-256 de son fichier .pub, avec son statut et sa période de validité. La vérification refuse une clé révoquée, une clé hors de sa période au moment signedAt du manifeste et tout fichier dont le digest diffère ; elle se termine par 0 si la vérification réussit, 1 en cas de refus et 3 pour un bundle au format antérieur, signé avec la clé de version. tools/verify-bundle.py --require-bundle-signature vérifie la même chaîne. Ces vérifications sont fournies avec les installeurs des bundles signés avec la clé de bundle ; les installeurs de v1.0.0-RC1-20261029 ne les ont pas.

Importer la clé PGP

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

Si un message ou un avis n'est pas signé de manière vérifiable, traitez-le comme non fiable.