한줄평
“GPG 키 관리 없이 커밋 서명을 도입하려는 팀에 현대적인 대안입니다. 다만 Sigstore 인프라와 OIDC 신원에 의존하고, 개념이 익숙지 않으면 도입에 학습이 필요합니다.”
이런 분께 GPG 키 부담 없이 커밋 서명과 공급망 보안을 강화하려는 팀께
좋은 점
- 장기 키 관리 없이 커밋에 서명
- Sigstore 기반의 검증 가능한 출처 제공
아쉬운 점
- Sigstore·OIDC 인프라에 의존함
- 키리스 서명 개념에 대한 이해가 필요함
깃사인 소개
gitsign은 Sigstore를 이용해 개인 키를 직접 관리하지 않고도 Git 커밋에 서명할 수 있게 해 주는 명령줄 도구입니다. OIDC 신원(예: 이메일 계정)으로 인증해 단기 인증서를 발급받아 서명하므로, 장기 GPG 키를 만들고 보관하는 부담을 덜어 줍니다. 커밋 출처를 검증 가능하게 만들고 공급망 보안을 강화하려는 팀에 적합합니다. GUI 없이 Git과 연동해 동작합니다.
