Дайджест определяет, какие байты получены. Происхождение описывает их связь со сборкой. Нужны обе проверки: подлинные сведения о другом артефакте не подтверждают принятую поставку.
Контейнеры и оркестрация
Происхождение программной сборки
Определение
Происхождение программной сборки — сведения, связывающие готовый артефакт с его дайджестом, исходными материалами и процессом сборки. Они позволяют проверить, кто и как получил результат. Подлинность этих сведений и допустимость самого результата оценивают отдельно.
Также ищут: Software build provenance · происхождение сборки · SLSA provenance
Зачем это знать
Подписанный образ может быть собран не из того репозитория или не той системой, которую одобрил заказчик. Принимайте поставку по ожидаемому дайджесту, источникам и сборщику. Одна подпись не заменяет правила выбора доверенных исходников и проверку приложения.
Связи из словаря
Карта понятия
Происхождение программной сборки
Доказательная часть
Что подтверждено
Сведения о происхождении SLSA связывают результат с криптографическим дайджестом и описывают сборку. Уровни Build Track повышают требования к подлинности сведений и защите сборочной среды.
Граница применимости: SLSA Build Track v1.2; состав сведений зависит от используемого формата и типа сборки.
Верная подпись подтверждает подлинность заявления при доверии подписанту. Она не доказывает безопасность кода: заказчик отдельно сверяет артефакт, сборщика, исходники и правила допуска.
Граница применимости: Подлинность SLSA и идентичность артефакта OCI; проверка безопасности содержимого отдельно.
SLSA Build L1 допускает неподписанные сведения о происхождении. L2 требует сборки на платформе, которая сама формирует и подписывает эти сведения; L3 усиливает защиту платформы. Наличие файла со сведениями ещё не доказывает уровень L2 или L3.
Граница применимости: Уровни направления Build в SLSA v1.2; заявленный уровень требует проверки всех его условий.
Проверяемые сведения должны относиться к дайджесту именно принимаемого артефакта. Подлинный документ о соседней сборке не подтверждает происхождение текущего образа.
Граница применимости: Связь результата сборки с идентичностью артефакта в SLSA.
Проверка происхождения сопоставляет сведения с ожидаемой сборочной системой и разрешёнными исходными материалами. Подтвердить подпись неизвестного сборщика недостаточно для принятия поставки.
Граница применимости: Проверка сведений о происхождении по политике потребителя SLSA.
Граница терминов
Не путать
Перед спецификацией
Что проверить
- Запросите сведения о происхождении для точного дайджеста поставляемого артефакта.
- Проверьте подлинность сведений и основание доверия к их издателю.
- Сверьте сборочную систему с разрешённой в условиях приёмки.
- Проверьте исходный репозиторий, редакцию и входные параметры, доступные в сведениях.
- Для заявленного уровня SLSA Build проверьте все его условия, а не только наличие подписи.
- Отдельно проведите проверку содержимого и работоспособности приложения.
- Сохраните результаты проверки рядом с принятым дайджестом для повторной поставки.
Открытые основания
Первоисточники
- Open Container Initiative Image Format Specification
Определяет манифест, индекс, конфигурацию и слои образа, а также дескрипторы объектов с адресацией по содержимому.
Утверждения: 02