Beiträge mit dem Tag „software-supply-chain“

27. Mai 2026·8 Min. Lesezeit

Wie verankerst du CI/CD-Build-Nachweise an einem öffentlichen Zeitstempel?

Eine CI/CD-Pipeline kann ihre Build-Artefakte, SBOMs, Logs und Release-Manifeste hashen, zu einer einzigen Merkle-Wurzel bündeln und einen einzelnen Label-309-Nachweis veröffentlichen – ein unabhängiger öffentlicher Zeitanker für spätere Audits.

Entwickler

6. Mai 2026·7 Min. Lesezeit

Existenznachweis vs. Sigstore: Brauchst du beides?

Sigstore signiert Software-Artefakte und protokolliert das Ereignis öffentlich; Label 309 ergänzt einen unabhängigen Blockchain-Zeitanker über deinen gesamten Release-Nachweis. Sie lösen unterschiedliche Probleme und ergänzen sich gut.

Der StandardEntwickler