Происхождение программной сборки

Дайджест отвечает на вопрос «какие данные», а происхождение — «откуда и как они появились». Политика должна отдельно проверить подлинность, ожидаемые исходники и сборщика.

1. 01

   Сведения SLSA однозначно связывают результат с криптографическим дайджестом и описывают материалы и процесс сборки; более высокие уровни усиливают требования к подлинности и изоляции.

   Граница применимости: Направление сборки SLSA Build Track v1.2.

2. 02

   Верная подпись доказывает связь заявления с доверенным подписантом, но проверяющая сторона всё равно сверяет исходники, сборщика, параметры и правила допуска; подписанная вредоносная программа остаётся вредоносной.

   Граница применимости: Подлинность сведений о происхождении в сравнении с безопасностью и разрешением артефакта.

1. Сверьте дайджест результата.
2. Проверьте подписанта, сборщика и исходники.
3. Запрещайте допуск при отсутствующих или неверных сведениях.

• Первичная спецификация

  SLSA Build Track v1.2

  Supply-chain Levels for Software Artifacts · SLSA specification v1.2

  Определяет build provenance levels, authenticity expectations и hardened build platform boundary.

  Открыть первоисточник ↗
• Первичная спецификация

  Open Container Initiative Image Format Specification

  Open Container Initiative · OCI Image Specification, November 2025

  Определяет image manifest, index, configuration, filesystem layers и content-addressed descriptors.

  Открыть первоисточник ↗