Aceptar versiones solo de un editor de confianza es un proyecto práctico de DevSecOps para quienes conocen las operaciones básicas de terminal y archivos. Crearás un receptor para la guía del festival de paseos de Waymark: aceptarás la actualización solicitada y firmada por el editor, publicarás los bytes realmente verificados y mantendrás las funciones existentes para los visitantes.
Dos Guided Labs presentan paso a paso las decisiones de confianza y el receptor. Un Challenge independiente aplica las mismas herramientas a una guía accesible, donde una firma auténtica puede corresponder al producto equivocado.
Lo que aprenderás
Al completar este curso, podrás:
- distinguir una suma de comprobación adjunta de una aprobación obtenida por un canal independiente y de confianza;
- verificar una firma real de Cosign con la clave pública del editor fijada de antemano;
- comprobar por separado el producto solicitado, la versión y el hash del archivo;
- escribir un receptor breve en Bash que se detenga ante un fallo y entregue una copia verificada del archivo al publicador preparado;
- rechazar entregas no aprobadas conservando las versiones anteriores, las páginas para visitantes y la descarga real de rutas.
A quién va dirigido este curso
Este curso está dirigido a principiantes de DevSecOps, desarrolladores y operadores que quieran completar una tarea pequeña de entrega de software de principio a fin.
Requisitos previos: Saber navegar por el terminal y trabajar con archivos de texto pequeños. Se explican las firmas, los hashes y la sintaxis de shell necesaria antes de utilizarlos; no se requiere programar en Python.
Entorno de aprendizaje: Un entorno Linux preparado con Cosign, entregas del proveedor, una clave y una solicitud de confianza proporcionadas por separado, y el sitio Waymark en funcionamiento. Usa Workspace para los comandos y Event Guide para las páginas y descargas reales.
Preguntas frecuentes
¿Necesito una cuenta en la nube o mi propia clave de firma?
No. El laboratorio proporciona entregas sintéticas firmadas y una clave pública fijada por un canal independiente. La clave privada del editor no se entrega al alumnado.
¿Es un flujo completo de verificación de identidades públicas de Sigstore?
No. Este proyecto usa firmas sin conexión con claves autogestionadas y omite explícitamente la verificación del registro público de transparencia. No verifica identidades públicas OIDC ni afirma alcanzar un nivel SLSA.
¿Qué obtendré al terminar?
Un receptor reutilizable y una guía actualizada que funciona, con los bytes correctos en la hoja de rutas. El Challenge combina de forma independiente las decisiones practicadas, sin introducir otro mecanismo de firma.
