Cosign镜像验签冷启动性能瓶颈诊断 - 第4节

4.1 非对称加密基础：签名体系的数学基石

Cosign 的签名验证体系建立在非对称加密之上。理解这一基础，是掌握后续签名与验签流程的前提。非对称加密使用一对密钥：私钥（Private Key） 和 公钥（Public Key）。私钥必须由签名者秘密保管，公钥则可以公开分发。

4.1.1 签名与验签流程

一个标准的数字签名流程包含两个阶段：签名（Sign） 和 验签（Verify）。Cosign 遵循这一经典模型，但增加了 OIDC 身份绑定。

1. 签名阶段：
   • 对原始工件（如容器镜像）计算哈希摘要（SHA-256）。
   • 使用签名者的私钥对摘要进行加密，生成数字签名。
   • 将签名与原始工件、签名者公钥（或公钥引用）打包存储。
2. 验签阶段：
   • 验证者获取原始工件和签名。
   • 对工件重新计算哈希摘要。
   • 使用签名者的公钥解密签名，得到原始摘要。
   • 比对两个摘要：一致则验签通过，否则失败。

4.2 Cosign 的 OIDC 身份认证机制

传统非对称签名面临一个关键问题：公钥如何与真实身份绑定？Cosign 没有采用传统的 PKI（公钥基础设施）或自建 CA，而是深度集成了 OIDC（OpenID Connect） 身份认证机制。这使得签名者的身份直接关联到其 OIDC 提供商（如 GitHub、Google、Microsoft）的账户。

4.2.1 OIDC 在 Cosign 中的角色

• 身份证明：签名者通过 OIDC 提供商进行身份认证，获取一个 ID （JWT 格式）。
• 密钥绑定：Cosign 将 ID 与签名者的公钥进行绑定，生成一个 证书（Certificate） 或 密钥对声明。
• 验签信任链：验证者无需预先信任签名者的公钥，只需信任 OIDC 提供商（如 GitHub 的 OIDC 端点），即可通过验证 ID 的签名来确认签名者身份。

4.2.2 Cosign 签名与 OIDC 的交互流程

1. 用户认证：签名者执行 cosign sign 命令，Cosign 引导用户通过浏览器完成 OIDC 登录（如 GitHub OAuth）。
2. 获取 ID ：OIDC 提供商返回一个签名的 ID ，其中包含用户的身份信息（如邮箱、用户名）和提供商的签名。
3. 生成密钥对：Cosign 在本地生成一个临时的非对称密钥对（ECDSA P-256）。
4. 创建签名证书：Cosign 将公钥与 ID 打包，生成一个 x509 证书，证书中嵌入了 OIDC 身份信息。
5. 签名工件：使用私钥对工件摘要进行签名，并将签名、证书一起上传到容器镜像仓库（如 OCI 仓库）。

4.3 验签流程：从信任 OIDC 到信任工件

验证者执行 cosign verify 时，流程与签名阶段对称，但核心是重建信任链：

1. 获取签名和证书：从 OCI 仓库拉取工件对应的签名和 x509 证书。
2. 验证证书链：Cosign 使用预配置的 OIDC 提供商根证书，验证证书中 ID 的签名是否有效。
3. 提取公钥：从证书中提取签名者的公钥。
4. 验签：使用公钥对工件摘要进行验签，确认工件未被篡改。
5. 身份确认：从证书中提取 OIDC 身份信息（如邮箱），与预期身份比对。

4.3.1 Cosign 签名与验签的密钥管理对比