Johnny为何采用基于身份的软件签名：Sigstore的可用性案例研究

软件签名是确保软件供应链中组件完整性和真实性的最稳健方法。传统的密钥管理签名工具（如OpenPGP）使从业者负担了密钥管理和签名者识别工作，既带来了可用性挑战，也带来了安全风险。一类新的基于身份的签名工具自动化了许多此类问题，但人们对它们的可用性及其对实际采用和有效性的影响知之甚少。可用性评估可以阐明基于身份的设计在多大程度上取得成功，并突出改进的优先事项。为填补这一空白，我们对Sigstore——基于身份签名的先驱和广泛采用的典范——进行了首次可用性研究。通过对17位行业专家的访谈，我们考察了（1）与从业者工具选择相关的问题和优势，（2）他们的签名工具使用随时间演变的方式和原因，以及（3）导致可用性问题的情境。我们的发现揭示了基于身份的签名工具的可用性因素，并为工具开发者、采用组织和研究社区提供了建议。值得注意的是，基于身份的工具的组件表现出不同的成熟度和采用就绪度，集成灵活性是一个常见的痛点，但可能通过插件和API加以缓解。我们的结果将帮助基于身份的签名工具开发者进一步加强软件供应链安全。