Yazılım tedarik zinciri saldırıları son üç yılda yüzde 742 oranında arttı. SolarWinds, Codecov, Log4Shell ve XZ Utils gibi yüksek profilli olaylar, modern üretim sistemlerinin en zayıf halkasının kullandığımız üçüncü parti bileşenler olduğunu kanıtladı. Bu krize cevap olarak Linux Foundation çatısı altında 2021’de kurulan Sigstore projesi ve onun imzalama aracı Cosign, 2026’da konteyner ve yazılım eserlerini imzalama konusunda fiili standart haline geldi. Kubernetes, Helm, Docker ve OCI ekosistemi Cosign imzalama yapısını yerleşik olarak destekliyor. Üretim ortamlarında çalıştırdığımız her konteyner imajının kim tarafından, ne zaman ve hangi kaynak koddan üretildiğini kriptografik olarak doğrulamak artık zorunlu bir DevSecOps pratiği. Bu yazı Cosign ve Sigstore’un üretim ortamlarına nasıl entegre edileceğini, hangi imza politikalarının uygulanması gerektiğini ve 2026 itibariyle olgunlaşmış best practice’leri ele alıyor. Konuyla ilişkili olarak Sigstore ve Cosign: Yazilim Tedarik Zinciri Imzalama 2026 rehberimiz detaylı incelemeyi içerir.
Yazılım Tedarik Zinciri Tehdidinin 2026 Boyutu
Sonatype’ın 2024 yılı State of Software Supply Chain raporu, yazılım tedarik zinciri saldırılarının yıllık 245 bin ayrı olay seviyesinde olduğunu belgeliyor. Bu rakam 2020’deki 33 binden 7.4 kat artış anlamına geliyor. Verizon DBIR 2024 raporu, kurumsal ihlallerin yüzde 15’inin tedarik zinciri kaynaklı olduğunu söylüyor; bu oran 2021’de yüzde 4’tü. IBM Cost of Data Breach 2024 raporuna göre tedarik zinciri kaynaklı ortalama ihlal maliyeti 4.76 milyon USD; bu rakam veri ihlallerinden yüzde 8 daha yüksek. Cosign ve Sigstore tam bu tehdide karşı kriptografik bir savunma katmanı sunuyor.
2026 itibariyle CNCF, OpenSSF ve Linux Foundation’ın ortak yatırımıyla Sigstore projesi olgun bir altyapıya kavuştu. Sigstore’un üç ana bileşeni: Cosign (imzalama aracı), Fulcio (sertifika otoritesi) ve Rekor (şeffaflık günlüğü). Bu üçlü, geleneksel PKI’nın karmaşıklığını ortadan kaldıran “anahtarsız imzalama” yaklaşımıyla geliştirici deneyimini radikal şekilde basitleştiriyor.
Cosign ve Sigstore Mimarisi 2026
Cosign’in 2026 mimarisi üç temel innovasyon sunuyor. Birincisi keyless signing: geliştiricinin uzun süreli özel anahtar yönetimine ihtiyacı olmadan OIDC kimliği üzerinden tek seferlik sertifika ile imzalama. İkincisi transparency log: her imza Rekor adlı tamper-evident günlüğe kaydediliyor ve herkese açık doğrulanabilir hale geliyor. Üçüncüsü OCI uyumlu depolama: imzalar konteyner imajıyla aynı registry’de OCI artefact olarak saklanıyor, ek altyapıya ihtiyaç yok.
Üretim Mimari Karşılaştırma — Geleneksel PKI vs Sigstore
| Özellik | Geleneksel PKI | Cosign + Sigstore |
|---|---|---|
| İmza Yönetimi | Uzun süreli özel anahtar | Anahtarsız (Fulcio sertifikası) |
| Anahtar Saklama | HSM veya KMS gerekli | OIDC kimlik tabanlı |
| İmza Doğrulama | Sertifika zincir kontrolü | Rekor şeffaflık günlüğü |
| OIDC Entegrasyonu | Yok | GitHub, GitLab, Google, OIDC sağlayıcı |
| Maliyet (1000 imza/ay) | HSM 8 bin USD, KMS 220 USD | Ücretsiz (Sigstore public good) |
| İmza Süresi | 3-5 saniye | 1-2 saniye |
| Audit Trail | Manuel log yönetimi | Rekor otomatik tamper-evident |
| Standart Uyum | NIST SP 800-57 | NIST SP 800-204D, SLSA |
Cosign 2026 — Üretim Üretimi Üretim Üretimi Akışı
Cosign’in 2026 üretim akışı geliştirici ergonomisi açısından son derece sade. Bir CI/CD boru hattında üç temel adım yeterli: imajı build et, Cosign ile imzala, registry’ye push et. GitHub Actions üzerinden tipik komut “cosign sign –identity-token $OIDC_TOKEN $IMAGE_REF” şeklinde çalışıyor; bu komut Fulcio’dan kısa ömürlü bir X.509 sertifikası alıyor, imzayı oluşturuyor ve Rekor’a kaydediyor. Tüm süreç ortalama 1.8 saniye sürüyor.
- OIDC tabanlı anahtarsız imzalama: GitHub, GitLab, Google Cloud, AWS IAM Roles desteği
- OCI artefact uyumu: imzalar Docker Hub, ECR, GCR, ACR, GHCR’da yerel saklanır
- Çoklu kütüphane desteği: Go, Python, Node.js, Java için programatik API’ler
- SBOM ve attestation imzalama: SPDX, CycloneDX, in-toto attestation desteği
- 2026’da eklenen yeni özellik: kuantum sonrası imza algoritmaları (ML-DSA / Dilithium) beta desteği
“Sigstore, yazılım tedarik zinciri güvenliğinde paradigma değişikliği yarattı. Geleneksel PKI’nın anahtar yönetimi yükünü ortadan kaldırarak imzalamayı geliştiriciler için sıradan bir adım haline getirdi.” — Linux Foundation OpenSSF Yıllık Raporu 2025
Üretim Politika Yönetimi — Sigstore Policy Controller
Cosign ile imzalama tek başına yeterli değil; üretim cluster’larında sadece imzalı imajların çalıştırılmasını zorlamak gerekiyor. Bu noktada Sigstore Policy Controller devreye giriyor. Bu Kubernetes admission controller, cluster’a deploy edilen her pod’un imajını Sigstore politikalarına göre doğruluyor. Politika YAML dosyalarında imza zorunluluğu, izin verilen imzacılar, OIDC issuer kuralları ve trust domain tanımları belirleniyor. 2026’da OPA Gatekeeper ve Kyverno ile yan yana en olgun politika motoru olarak konumlanıyor.
Üretim Devreye Alma Yol Haritası
- Hafta 1: Mevcut konteyner imajı envanteri ve registry haritası
- Hafta 2: Cosign CLI ve Sigstore CLI yerel makinelerde kurulum
- Hafta 3-4: CI/CD boru hatlarına Cosign sign adımı entegrasyonu
- Hafta 5-6: Kubernetes cluster’lara Sigstore Policy Controller deploy
- Hafta 7-8: İmza politikalarının yazımı ve test ortamı doğrulama
- Hafta 9-10: SBOM ve in-toto attestation imzalama akışları
- Hafta 11-12: Üretim cluster’larında aşamalı blocking moduna geçiş
- Hafta 13-16: SOC ekibi runbook’ları, denetim raporu şablonları, kuantum hazırlık değerlendirmesi
2026 İmzalama Pratiği — SBOM ve in-toto Attestation
Modern Cosign kullanımı sadece imza eklemekle bitmiyor. SLSA Level 3 ve 4 gereksinimleri, imzaların yanında SBOM (Software Bill of Materials) ve in-toto attestation’ların da eklenmesini şart koşuyor. Cosign 2.3 sürümüyle birlikte “cosign attest” komutu SPDX, CycloneDX ve SLSA Provenance formatlarındaki attestation’ları imzalı şekilde registry’ye eklemeye olanak tanıyor. Snyk Open Source 2024 raporu, üretim ortamlarındaki konteyner imajlarının yalnızca yüzde 32’sinin SBOM içerdiğini gösteriyor; 2026 hedefi bu oranı yüzde 80’e çıkarmak.
Aşağıdaki tablo, üretim sınıfı imzalama olgunluk seviyelerini SLSA çerçevesiyle ilişkilendiriyor.
| Olgunluk Seviyesi | İmza | SBOM | Provenance | SLSA Karşılığı |
|---|---|---|---|---|
| Başlangıç | Var (Cosign) | Yok | Yok | SLSA Level 1 |
| Orta | Var (Cosign) | Var (SPDX/CycloneDX) | Yok | SLSA Level 2 |
| Üretim | Var (Cosign keyless) | Var, imzalı | Var (SLSA Provenance v1.0) | SLSA Level 3 |
| Tam Olgun | Var (Cosign + HSM/PQ) | Var, imzalı, doğrulanmış | Var, hermetik build | SLSA Level 4 |
Kubernetes Üretim Politika Örneği
Sigstore Policy Controller ile yazılan basit bir politika, “production” namespace’inde sadece şirket içi build sistemiyle imzalanmış imajların çalıştırılmasını zorlar. Politika YAML dosyasında trust roots olarak şirket OIDC issuer URL’si belirtilir; her pod tetiklendiğinde admission controller imajın imzasını Rekor’a karşı doğrular. Politika eşleşmezse pod oluşturulması engellenir. Bu yaklaşım, runtime’da kötü amaçlı imaj çalıştırılmasını ortadan kaldırır.
Üretim Performans Etkisi 2026
Cosign imzalama ve doğrulama süreçlerinin üretim performans etkisi 2026’da çok düşük. İmzalama ortalama 1.8 saniye, doğrulama ortalama 0.3 saniye sürüyor. Yüksek hacimli registry’lerde (örneğin günde 5 bin imaj push’u) toplam CI yükü dakika başına 1-2 dakika seviyesinde kalıyor. Sigstore’un public good infrastructure’ı (Fulcio + Rekor) ücretsiz, ancak yüksek hacimli kurumlar için private Sigstore deployment (Chainguard, RedHat Stackrox veya self-hosted) opsiyonları mevcut.
Kurumsal Cosign Dönüşümünde Tipik Sorunlar
Cosign ve Sigstore üretim devreye alımlarında karşılaşılan üç temel zorluk şu şekildedir. Birincisi mevcut CI/CD entegrasyonu: legacy Jenkins, TeamCity veya Bamboo boru hatlarına Cosign eklemek yeni script ve credential yönetimi gerektirir; bu süreç organizasyonun DevOps olgunluğuna göre 4-8 hafta sürer. İkincisi politika uygulama kademesi: doğrudan blocking modda devreye almak yerine önce audit mode, sonra warning, son olarak blocking yaklaşımı zorunludur; aksi halde üretim deploy’ları aniden başarısız olur. Üçüncüsü kuantum hazırlık: 2026’da Sigstore PQ algoritmaları beta seviyesinde; kritik kurumların 2027-2028 yol haritasında PQ geçişi için ayrı bir bütçe planlamaları gerekir.
Sonuç ve Ömer ÖNAL Danışmanlık Notu
Cosign ve Sigstore, 2026’da yazılım tedarik zinciri güvenliğinin temel direği. Anahtarsız imzalama, OIDC tabanlı kimlik doğrulama ve Rekor şeffaflık günlüğü, geleneksel PKI’nın karmaşıklığını ortadan kaldırarak imzalamayı kurumsal pratiğin standardı haline getirdi. Bu adımlar artık opsiyonel değil, SLSA Level 3 ve üzeri tüm üretim sistemleri için zorunlu.
Ömer ÖNAL olarak müşterilerime şu üç adımlı yaklaşımı öneriyorum: önce mevcut CI/CD boru hatlarına Cosign sign adımı ekleyin, sonra Sigstore Policy Controller ile audit mode politika devreye alın, son olarak SBOM ve in-toto attestation desteğini katarak SLSA Level 3’e çıkın. Bu yol haritası ortalama 12 hafta sürer ve organizasyonun tedarik zinciri güvenlik duruşunu radikal şekilde yükseltir. Doğru imzalama stratejisi, milyonlarca dolarlık ihlal maliyetlerini önleyen en uygun maliyetli güvenlik yatırımıdır.
Sıkça Sorulan Sorular
1. Cosign ve Sigstore tamamen ücretsiz mi?
Evet, Sigstore Linux Foundation’ın public good infrastructure’ı olarak ücretsiz sunulur. Yüksek hacimli kurumlar private Sigstore deployment için Chainguard veya RedHat gibi ticari opsiyonlardan yararlanabilir.
2. Anahtarsız imzalama gerçekten geleneksel PKI’dan daha güvenli mi?
Geleneksel PKI’da uzun süreli özel anahtar saklama saldırı yüzeyini büyütür. Sigstore’un kısa ömürlü sertifika yaklaşımı (10 dakika) ve Rekor şeffaflık günlüğü saldırı penceresini dramatik şekilde küçültür. Üretim güvenlik mühendislerinin büyük çoğunluğu Sigstore yaklaşımını daha güvenli kabul eder.
3. Cosign’i hangi konteyner registry’leri destekliyor?
OCI standardına uyan tüm registry’ler: Docker Hub, ECR, GCR, ACR, GHCR, Harbor, JFrog Artifactory, GitLab Container Registry, Quay.io ve daha fazlası. Cosign imzaları registry içinde OCI artefact olarak saklanır.
4. Sigstore Policy Controller, OPA Gatekeeper veya Kyverno yerine kullanılabilir mi?
Bu üç araç farklı amaçlara hizmet eder. Sigstore Policy Controller spesifik olarak imza doğrulama için tasarlanmıştır; OPA Gatekeeper ve Kyverno genel Kubernetes politika motorudur. 2026 standardı, üçünü tamamlayıcı kullanmaktır.
5. Cosign 2026’da kuantum sonrası kriptografiyi destekliyor mu?
2026 itibariyle Cosign’in PQ algoritmaları (ML-DSA) beta sürümünde sunulmaktadır. Üretim hazır PQ desteğinin 2027 Q3’te tamamlanması bekleniyor. Kritik kurumların kuantum geçiş planlamalarını şimdiden yapması önerilir.
Ömer ÖNAL
Mayıs 23, 2026Yazılım geliştirme projelerinde sıkça gözlemlediğim: teknoloji seçim kararları ekibin mevcut yetkinliği yerine “trend” üzerinden yapıldığında, ilk 6-12 ayda ciddi rework maliyeti doğuruyor. Production hazırlığı için somut performans baseline ve operasyonel olgunluk metriği şart. Yorumlarınızı bekliyorum.