Receber versões apenas de um publicador confiável é um projeto prático de DevSecOps para quem já conhece operações básicas de terminal e arquivos. Você criará um receptor para o guia do festival de caminhadas Waymark: aceitará a atualização solicitada e assinada pelo publicador, publicará os bytes realmente verificados e manterá as funções existentes para os visitantes.
Dois Guided Labs apresentam, passo a passo, as decisões de confiança e o receptor. Um Challenge independente aplica as mesmas ferramentas a um guia acessível, no qual uma assinatura autêntica ainda pode pertencer ao produto errado.
O que você aprenderá
Ao concluir este curso, você poderá:
- distinguir uma soma de verificação fornecida junto ao arquivo de uma aprovação recebida por um canal independente e confiável;
- verificar uma assinatura real do Cosign com a chave pública do publicador previamente fixada;
- conferir separadamente o produto solicitado, a versão e o hash do arquivo;
- escrever um receptor curto em Bash que interrompa a execução em caso de falha e entregue a cópia verificada do arquivo ao programa de publicação fornecido;
- rejeitar entregas não aprovadas preservando versões anteriores, páginas para visitantes e o download real das rotas.
Para quem é este curso
O curso é indicado para iniciantes em DevSecOps, desenvolvedores e profissionais de operações que desejam realizar uma tarefa pequena e completa de entrega de software.
Pré-requisitos: Navegação básica no terminal e familiaridade com pequenos arquivos de texto. Assinaturas, hashes e a sintaxe de shell necessária são explicados antes do uso; não é preciso programar em Python.
Ambiente de aprendizado: Um Linux preparado com Cosign, pacotes do fornecedor, uma chave e uma solicitação confiáveis fornecidas separadamente e o site Waymark em funcionamento. Use Workspace para comandos e Event Guide para as páginas e os downloads reais.
Perguntas frequentes
Preciso de uma conta na nuvem ou da minha própria chave de assinatura?
Não. O laboratório fornece entregas sintéticas assinadas e uma chave pública fixada de forma independente. A chave privada do publicador não é fornecida aos alunos.
Este é um fluxo completo de verificação de identidade pública do Sigstore?
Não. O projeto utiliza assinaturas offline com chaves autogerenciadas e ignora explicitamente a verificação do registro público de transparência. Não verifica identidades públicas OIDC nem declara atingir um nível SLSA.
O que terei ao terminar?
Um receptor reutilizável e um guia atualizado em funcionamento, com os bytes corretos na planilha de rotas. O Challenge combina de forma independente as decisões praticadas, sem introduzir outro mecanismo de assinatura.
