Ключі верифікації

Перевірте контейнерний образ

Старіші образи перевіряються за cosign.pub; образи, підписані починаючи з 2026-11-04, перевіряються ключем образів зі зв'язки ключів, яку підписує cosign.pub.

Образи, підписані до 2026-11-04, наприклад сервісні образи v1.0.0-RC1-20261029, перевіряються ключем випусків:

cosign verify --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  registry.stella-ops.org/stellaops/<service>:<VERSION>

Образи, підписані починаючи з 2026-11-04: перевірте зв'язку ключів за cosign.pub і активний ключ образів за його ідентифікатором у зв'язці, потім перевірте образ за дайджестом цим ключем:

for f in cosign.pub image-signing-keys.txt image-signing-keys.txt.sig image-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d image-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der image-signing-keys.txt
grep ' active ' image-signing-keys.txt   # id status valid-from valid-until file
sha256sum image-signing.pub   # must equal the id on the active line
cosign verify --insecure-ignore-tlog=true --key image-signing.pub \
  registry.stella-ops.org/stellaops/<service>@sha256:<digest>

image-signing-keys.txt перелічує кожен ключ образів за SHA-256 його файлу .pub, з його статусом і строком дії; використовуйте файл ключа з рядка active, зараз це image-signing.pub.

Перевірити маніфест пакета випуску

Ключ випусків cosign.pub ручається за ключ пакетів: він підписує зв'язку ключів bundle-signing-keys.txt, у якій указано bundle-signing.pub. Пакет, підписаний ключем пакетів, перевіряється за цим ланцюжком; пакет, підписаний безпосередньо ключем випусків, наприклад v1.0.0-RC1-20261029, перевіряється лише за cosign.pub.

Пакети, підписані безпосередньо ключем випусків, наприклад v1.0.0-RC1-20261029:

cosign verify-blob --insecure-ignore-tlog=true \
  --key https://stella-ops.org/keys/cosign.pub \
  --signature release-manifest.yaml.sig \
  release-manifest.yaml

Stella Ops підписує випуски ключем випусків, наведеним на цій сторінці (cosign.pub), і не створює запису в журналі прозорості (Rekor), тому Cosign 3 потребує --insecure-ignore-tlog=true. Підпис однаково перевіряється за цим ключем.

Пакети, підписані ключем пакетів: перевірте зв'язку ключів за cosign.pub і активний ключ пакетів за його ідентифікатором у зв'язці:

for f in cosign.pub bundle-signing-keys.txt bundle-signing-keys.txt.sig bundle-signing.pub; do
  curl -sSLO "https://stella-ops.org/keys/$f"
done
sha256sum cosign.pub   # 91481209caf0499d1063e2d5955bb5c151466a9258c0b4c2ec76e5db52e3409b
base64 -d bundle-signing-keys.txt.sig > ring.der
openssl dgst -sha256 -verify cosign.pub -signature ring.der bundle-signing-keys.txt
grep ' active ' bundle-signing-keys.txt   # id status valid-from valid-until file
sha256sum bundle-signing.pub   # must equal the id on the active line

Потім у пакеті дайте інсталятору перевірити весь ланцюжок: зв'язку ключів, ключ пакетів, підписи release-manifest.yaml і SHA256SUMS та кожен файл, указаний у SHA256SUMS. Передайте завантажений cosign.pub, щоб копію з пакета порівнювали з ним:

# in the unpacked bundle directory
STELLA_RELEASE_PUBKEY=/path/to/cosign.pub ./install.sh --verify-signature
# Windows: $env:STELLA_RELEASE_PUBKEY = "C:\path\to\cosign.pub"; .\install.ps1 -VerifySignature
# or, with Python 3:
python3 tools/bundle_signing_chain.py --trusted-root /path/to/cosign.pub

bundle-signing-keys.txt перелічує кожен ключ пакетів за SHA-256 його файлу .pub, з його статусом і строком дії. Перевірка відхиляє відкликаний ключ, ключ поза строком дії на момент signedAt маніфесту та будь-який файл з іншим дайджестом; вона завершується кодом 0 у разі успіху, 1 у разі відмови та 3 для пакета в попередньому форматі, підписаного ключем випусків. tools/verify-bundle.py --require-bundle-signature перевіряє той самий ланцюжок. Ці перевірки постачаються з інсталяторами пакетів, підписаних ключем пакетів; в інсталяторах v1.0.0-RC1-20261029 їх немає.

Імпортувати ключ PGP

curl -sSL https://stella-ops.org/keys/pgp.asc | gpg --import
gpg --fingerprint "Stella Ops Release Signing"

Якщо повідомлення чи порада не підписані перевіреним, розглядайте їх як ненадійні.