身份签名工具转移而非解决可用性难题

这篇基于 GitHub 3,900 个议题的纵向研究指出，Sigstore、OpenPubKey、HashiCorp Vault、Keyfactor 和 Notary v2 等五个身份签名生态系统并未解决可用性难题，而是将复杂度从长期密钥管理转移到了策略配置、验证工作流及跨组件协调上。 分析覆盖了 2021 年 11 月至 2025 年 11 月的数据，发现 CLI 工具、策略配置和验证工作流是用户报告问题的集中区域。趋势分析显示不同仓库的问题数量变化各异：部分显著下降，OpenPubKey 呈上升趋势，而 Keyfactor 则无统计显著的总体趋势。这表明虽然减少了直接管理密钥的负担，但引入了新的操作复杂性和集成挑战。 事实层面确认了当前工具在策略验证和可观测性方面的短板；推断表明若忽视这些新出现的痛点，可能导致部署时的误配置或采用率降低；猜测在于未来设计需将验证语义和部署集成视为一等公民目标，而非仅关注密钥生成环节。

摘自 arXiv cs.CR

还没有足够的连续观测数据，暂不绘制趋势。