Docker 이미지의 진위 여부 검증: cosign을 이용한 서명 검증 방법

요약

본 글은 Docker 이미지의 출처를 디지털 서명(Signature)을 통해 검증하는 방법을 분석합니다. 단순히 다이제스트로 이미지를 고정해도 공격자가 동일한 다이제스트를 가진 악성 이미지를 푸시할 수 있기 때문에, 배포처가 발행한 서명을 확인하여 신뢰성을 확보해야 합니다. 이를 위해 cosign과 같은 도구를 사용하여 이미지의 출처와 빌드 과정을 검증하는 것이 중요합니다.

핵심 포인트

• 다이제스트 고정만으로는 공격 방어에 불충분하며, 서명 검증이 필수적입니다.
• Docker 이미지 서명은 해당 이미지가 배포처의 정규 파이프라인을 거쳤음을 증명합니다.
• `cosign` 등을 사용하여 공개키를 통해 서명을 검증할 수 있습니다.
• 서명은 '누가 어디서 빌드했는지'만 확인하며, 이미지 내부 코드의 안전성까지 보장하지는 않습니다.