Assinatura de commits Git: Limitações das abordagens tradicionais e perspectivas futuras

Este artigo explora o estado atual e os desafios da assinatura de commits Git. Métodos tradicionais como a assinatura GPG sofrem com complexidades no gerenciamento de chaves e riscos associados a identidades de longa duração. O autor analisa as deficiências da assinatura GPG, SSH e S/MIME em plataformas como GitHub e GitLab, e apresenta soluções emergentes como Gitsign e OpenPubkey do Sigstore. Essas soluções utilizam identidades de curta duração e logs de transparência para melhorar a segurança, mas atualmente apresentam limitações. O autor sugere priorizar o gerenciamento de chaves SSH e as regras de proteção de branches até que as soluções Sigstore amadureçam.