Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Consider endorsing/using Sigstore

Đang mở
#642 4 bình luận 1 reaction 1 người được giao Xem trên GitHub

@BethGriggs đang làm issue này rồi.

Từ ngày 23/11/2022.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

Proposal/Exploration document: Sigstore for Node.js binaries

I believe it is important to reflect on the fundamental problems we are seeking to address and whether Sigstore tooling helps us to solve them. I've heard various community members suggest for us to adopt Sigstore tooling - I'm curious to hear the origins of those suggestions. So, my main ask is:

  • What are the problems that we're trying to solve?
  • How do we believe Sigstore is solving them?

While there are some potential benefits, from my exploration there are also tradeoffs to consider such as:

  • What does this provide to end-users in comparison to our current method of signing and verifying with GPG keys?
  • How many users will benefit from it?
  • Effort/cost of migrating to new tooling.
  • Concerns raised around delegation of trust.

Anyone with an interest, please free to review this Sigstore for Node.js binaries document. The current state of that document is somewhere between a personal scratch-pad of notes and an evolving proposal draft. I hope for that document to eventually help us converge on a decision or outcome of whether we feel Sigstore would add value for the Node.js project to adopt (or not).

cc groups that may have opinions: @nodejs/release, @nodejs/build, @nodejs/security, @nodejs/tsc

Initial suggestion

Chatting with some of the folks working on Rekor (https://rekor.dev/get_started/), they've suggested that it might be something we wish to explore/endorse for Node.js releases.

I will likely not explain it as well as the Rekor folks, but the ledger would be a source of truth for the URL, SHA, Public Key, and Signature of our releases that users can validate against. I believe there is also alerting we could set up - for example, if an old/previous release key was used to sign a release.

They have offered to give us an overview if there's interest. I also believe they've prototyped a ledger for Node.js releases.

cc: @nodejs/build

also cc (from rekor): @bobcallaway @dlorenc @lukehinds

Ngôn ngữ chính
JavaScript
Star
4.4k
Fork
675
Merge trung bình
22 giờ 29 phút
Pull request đã merge (30 ngày)
1

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của nodejs/Release

Tất cả issue của nodejs/Release

Issue tương tự

Thêm issue về JavaScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.