Sigstore 是一个旨在简化软件签名和验证的新兴框架，由 Zachary Newman 等人提出。当前软件供应链安全面临严峻挑战，例如代码签名过程复杂、密钥管理困难以及透明性不足，导致恶意软件注入事件频发。Sigstore 通过结合 OpenID Connect (OIDC) 身份认证、Fulcio 短期证书颁发机构和 Rekor 透明日志，实现了无密钥（keyless）的软件签名流程。开发者无需管理长期私钥，只需利用其已有的 OIDC 身份（如 GitHub、Google 账号）即可对工件进行签名，签名记录被永久追加到 Rekor 日志中，任何人均可公开验证。Cosign 作为配套命令行工具，支持对容器镜像、二进制文件等多种工件进行签名与验证。论文详细介绍了 Sigstore 的架构设计、安全属性分析以及开源生态中的初步采用案例，例如 Kubernetes 社区对镜像签名的实践。实验表明 Sigstore 能有效降低签名门槛，提升软件供应链的透明度和可审计性。该工作为软件安全领域提供了一种可大规模部署的签名基础设施方案。