Eine Version nur vom vertrauenswürdigen Herausgeber annehmen ist ein praktisches DevSecOps-Projekt für Lernende mit Grundkenntnissen im Umgang mit Terminal und Dateien. Du baust einen Empfänger für Waymarks Guide zum Spazierfestival: Er nimmt das angeforderte, vom Herausgeber signierte Update an, veröffentlicht die tatsächlich geprüften Bytes und erhält die vorhandenen Besucherfunktionen.
Zwei Guided Labs führen schrittweise durch die Vertrauensentscheidungen und den Empfänger. Eine eigenständige Challenge verwendet dieselben Werkzeuge für einen barrierefreien Guide, bei dem eine echte Signatur trotzdem zum falschen Produkt gehören kann.
Was du lernen wirst
Nach diesem Kurs kannst du:
- eine beigefügte Prüfsumme von einer über einen unabhängigen vertrauenswürdigen Kanal erteilten Freigabe unterscheiden;
- eine echte Cosign-Signatur mit einem vorher festgelegten öffentlichen Herausgeberschlüssel prüfen;
- angefordertes Produkt, Version und Archivhash getrennt beurteilen;
- einen kurzen Bash-Empfänger schreiben, der bei Fehlern stoppt und die geprüfte Archivkopie an das bereitgestellte Veröffentlichungsprogramm übergibt;
- nicht genehmigte Lieferungen ablehnen und dabei frühere Versionen, Besucherseiten und den tatsächlichen Routendownload erhalten.
Für wen dieser Kurs geeignet ist
Der Kurs richtet sich an DevSecOps-Einsteiger, Entwickler und Betriebsteams, die eine kleine Aufgabe zur Softwarebereitstellung vollständig bearbeiten möchten.
Voraussetzungen: Grundlegende Terminalnavigation und der Umgang mit kleinen Textdateien. Signaturen, Hashwerte und die benötigte Shell-Syntax werden vor ihrer Verwendung erklärt; Python-Programmierung wird nicht vorausgesetzt.
Lernumgebung: Eine vorbereitete Linux-Umgebung mit Cosign, Lieferpaketen, einem separat bereitgestellten vertrauenswürdigen Schlüssel und Auftrag sowie der laufenden Waymark-Website. Nutze Workspace für Befehle und Event Guide für die tatsächlichen Seiten und Downloads.
Häufig gestellte Fragen
Brauche ich ein Cloud-Konto oder einen eigenen Signaturschlüssel?
Nein. Das Lab stellt synthetische signierte Lieferungen und einen unabhängig festgelegten öffentlichen Schlüssel bereit. Der private Schlüssel des Herausgebers wird Lernenden nicht zur Verfügung gestellt.
Ist dies ein vollständiger Ablauf zur öffentlichen Sigstore-Identitätsprüfung?
Nein. Das Projekt verwendet Offline-Signaturen mit selbst verwalteten Schlüsseln und überspringt ausdrücklich die Prüfung des öffentlichen Transparenzprotokolls. Es prüft keine öffentlichen OIDC-Identitäten und beansprucht kein SLSA-Level.
Was habe ich am Ende erstellt?
Einen wiederverwendbaren Empfänger und einen funktionierenden aktualisierten Guide mit den passenden Bytes im Routenblatt. Die Challenge verbindet die geübten Entscheidungen eigenständig und führt keinen neuen Signaturmechanismus ein.
