驗證金鑰

使用這些公鑰驗證 Stella Ops Suite:

容器映像（Cosign?Sigstore專案的容器簽章工具，用於簽署和驗證容器映像和製品）
發行套件：已簽署的發行清單（Cosign?Sigstore專案的容器簽章工具，用於簽署和驗證容器映像和製品 verify-blob）
安全郵件/建議 (PGP)
供應商簽署的材料，離線驗證（見下方供應商信任根）

驗證容器映像

較早的映像以 cosign.pub 驗證；自 2026-11-04 起簽署的映像以映像金鑰驗證，該金鑰列於由 cosign.pub 簽署的金鑰環中。

2026-11-04 之前簽署的映像（例如 v1.0.0-RC1-20261029 的服務映像）以發行金鑰驗證：

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

自 2026-11-04 起簽署的映像：先以 cosign.pub 驗證金鑰環，再依金鑰環中的 ID 驗證目前有效的映像金鑰，然後以該金鑰依摘要驗證映像：

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt 依 .pub 檔案的 SHA-256 列出每把映像金鑰及其狀態與有效期間；請使用 active 行上的金鑰檔案，目前為 image-signing.pub。

驗證發行套件清單

發行金鑰 cosign.pub 為發行套件金鑰背書：它簽署金鑰環 bundle-signing-keys.txt，該金鑰環列出 bundle-signing.pub。以發行套件金鑰簽署的發行套件透過這條鏈驗證；直接以發行金鑰簽署的發行套件（例如 v1.0.0-RC1-20261029）僅以 cosign.pub 驗證。

直接以發行金鑰簽署的發行套件，例如 v1.0.0-RC1-20261029：

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops 以本頁列出的發行金鑰（cosign.pub）簽署發行版本，不會在透明度日誌（Rekor）中留下項目，因此 Cosign 3 需要 --insecure-ignore-tlog=true。簽章仍會依此金鑰驗證。

以發行套件金鑰簽署的發行套件：以 cosign.pub 驗證金鑰環，再依金鑰環中的 ID 驗證目前有效的發行套件金鑰：

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

接著在發行套件中讓安裝程式檢查整條鏈：金鑰環、發行套件金鑰、release-manifest.yaml 與 SHA256SUMS 的簽章，以及 SHA256SUMS 列出的每個檔案。請傳入您下載的 cosign.pub，以便將發行套件中的副本與其比對：

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt 依 .pub 檔案的 SHA-256 列出每把發行套件金鑰及其狀態與有效期間。檢查會拒絕已撤銷的金鑰、在清單 signedAt 時間不在有效期間內的金鑰，以及摘要不符的任何檔案；驗證成功時結束代碼為 0，拒絕時為 1，舊版（發行金鑰簽署）格式的發行套件為 3。tools/verify-bundle.py --require-bundle-signature 檢查同一條鏈。這些檢查隨以發行套件金鑰簽署之發行套件的安裝程式提供；v1.0.0-RC1-20261029 的安裝程式沒有這些檢查。

匯入 PGP 金鑰

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

如果消息或建議未經過驗證簽名，則將其視為不可信。

PGP Key

4976 7614 4BBA 5DDB E2EA B5B8 5C1E CABB C9F3 1EA6

顯示完整關鍵...

原始下載： pgp.asc

複製到剪貼板

CoSign Key

9148 1209 CAF0 499D 1063 E2D5 955B B5C1 5146 6A92 58C0 B4C2 EC76 E5DB 52E3 409B

顯示完整關鍵...

原始下載： cosign.pub

複製到剪貼板

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEUVa+jrUqCk28DYjVXOR4iCGX2zeB
ei8bd0AT8oRnP1vgkxmIgDpvcdQrRcS3v0vt+Jw6Kyqh2F1BGvwNwKN66g==
-----END PUBLIC KEY-----

供應商信任根

每個供應商根只有一個用途，只驗證為該用途簽署的材料。驗證只需要公鑰，無需連線至 Stella Ops。

這些根組成供應商信任根集合（<purpose>/anchors/<label>.pem）。附帶該集合的發行套件將其放在 config/vendor-roots/ 中，並在已簽署的發行清單的 vendorTrustRoots 下列出每個金鑰識別碼，方便您將發行套件與本頁比對。2026 年 10 月 29 日發布的版本（v1.0.0-RC1-20261029）早於該集合，不包含任何供應商根。

自 2026 年 11 月 2 日起，發布於 mirrors.stella-ops.org/vuln-db/ 的弱點資料庫使用 vendor-intelligence 信任根簽署（首個已簽署發行版本：2026-11-02）。

stellaops-vendor-entitlement-2026-2

用途: vendor-entitlement · ECDSA P-256 (ES256)

金鑰識別碼

sha256:7476e87bc384a13678bacba5440cc0ef43dd64a5d0c9b45617789d15b8275246

顯示完整關鍵...

原始下載： stellaops-vendor-entitlement-2026-2.pem

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEO7CZrBZo2WzxM1B0PoZZk7UqToKe
/5TjUQSAwjMzNNVhffeKdXaWLfi1A5HCrkYc5gQ88Yb8Xua46p4tI2blxw==
-----END PUBLIC KEY-----

stellaops-vendor-intelligence-2026-2

用途: vendor-intelligence · ECDSA P-256 (ES256)

金鑰識別碼

sha256:a3024b6333189558022436890e303543059bafb4ba649c820335bb16fd590b97

顯示完整關鍵...

原始下載： stellaops-vendor-intelligence-2026-2.pem

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEJFPlBB3dk+XjFvzCC32xx67LIRTK
+havbZjfyvuej80gqv6oVPeTj/wF6a0Nw9UW9bDtUFwZD0o+K9ARuO+K2w==
-----END PUBLIC KEY-----

檢查金鑰識別碼

金鑰識別碼為 sha256: 加上該金鑰 DER 編碼的 SubjectPublicKeyInfo 的 SHA-256。請根據下載的檔案計算，並與上方的值比對：

curl -sSLO https://stella-ops.org/keys/stellaops-vendor-intelligence-2026-2.pem
openssl pkey -pubin -in stellaops-vendor-intelligence-2026-2.pem -outform DER | sha256sum