Provenance ファイルが保証すること

インターネットからチャートをダウンロードしました。途中で誰かに改ざんされていないことを、どうすれば確認できるでしょうか？Helmではプロヴェナンスファイルでこれに対応します。

プロヴェナンスファイルはチャートアーカイブの隣に置かれ、同じ名前に.provサフィックスが付きます。これはチャートの真正性を証明する署名付きの受領証です。

プロヴェナンスファイルは、2つのことを証明します。バイト列が変更されていないという完全性と、特定の鍵によって署名されたものであるという出所です。

.provには、チャートアーカイブのSHA-256ダイジェストが保存されます。1バイトでも変更されると、再計算したハッシュが一致せず、検証に失敗します。

このファイルは、発行者の秘密鍵で作成されたPGP署名で包まれています。対応する公開鍵だけが、その署名を検証できます。

署名されたブロックには、チャートの名前やバージョンなどのメタデータもコピーされます。これにより、署名が名前を変更した別のチャートではなく、まさにこのチャートに結び付けられます。

.provは、人間が読めるクリア署名付きのPGPメッセージです。開いて、署名マーカーの間に含まれたメタデータとハッシュを確認できます。

プロヴェナンスは、誰が署名したか、そしてバイト列が完全であることを証明します。ただし、チャートが安全か、バグがないかを判定するものではなく

署名は、署名者を信頼できる場合にのみ意味を持ちます。検証するには、発行者の公開鍵をあらかじめ自分のキーリングに保持していなければなりません。

Helmの従来のプロヴェナンスはOpenPGP標準を使用します。つまり、標準的なGPGツールで、これらの署名を支える鍵を作成・確認できます。

チャートリポジトリのインデックスには、チャートと一緒にプロヴェナンスハッシュを記載できます。そのため、クライアントは.provを自動的に取得して検証できます。

チームメンバーから、Helmのプロヴェナンスファイルがチャートについて実際に何を保証するのか尋ねられました。

.prov ファイルはチャートと署名済みダイジェストを対応付け、バイト列が完全であり、信頼できるキーによって署名されていることを証明します。これは安全性ではなく、真正性を示すものです。🔏