출처 증명 파일이 보장하는 것

인터넷에서 차트를 다운로드했습니다. 전송 중에 누군가 차트를 변조하지 않았다는 것을 어떻게 알 수 있을까요? Helm은 출처 증명 파일로 이에 답합니다.

출처 증명 파일은 차트 아카이브 옆에 같은 이름과 .prov 접미사를 가진 파일로 존재합니다. 이는 차트의 진위성을 증명하는 서명된 영수증입니다.

출처 증명 파일은 두 가지를 증명합니다. 바이트가 변경되지 않았다는 무결성과 특정 키가 서명했다는 출처입니다.

.prov에는 차트 아카이브의 SHA-256 다이제스트가 저장됩니다. 바이트 하나만 변경되어도 다시 계산한 해시가 일치하지 않으므로 검증에 실패합니다.

이 파일은 게시자의 개인 키로 만든 PGP 서명으로 감싸져 있습니다. 이에 대응하는 공개 키만 서명을 검증할 수 있습니다.

서명된 블록에는 이름과 버전 같은 차트의 메타데이터도 복사됩니다. 따라서 서명이 이름만 바꾼 차트가 아니라 정확히 이 차트에 연결됩니다.

.prov는 사람이 읽을 수 있는 클리어 서명 PGP 메시지입니다. 파일을 열면 서명 표식 사이에 메타데이터와 해시가 감싸진 형태로 표시됩니다.

출처 증명은 누가 서명했는지와 바이트가 온전한지만 증명합니다. 차트가 안전한지 또는 버그가 없는지는 판단하지 않습니다. 단지 진짜 차트인지만 확인합니다.

서명자는 신뢰할 수 있어야 서명이 의미를 가집니다. 서명을 검증하려면 게시자의 공개 키를 이미 키링에 보유하고 있어야 합니다.

Helm의 기존 출처 증명 기능은 OpenPGP 표준을 사용합니다. 따라서 표준 GPG 도구로 이러한 서명에 사용되는 키를 만들고 검사할 수 있습니다.

차트 저장소의 색인에는 차트와 함께 출처 증명 해시를 나열할 수 있으므로, 클라이언트가 .prov 파일을 자동으로 가져와 확인할 수 있습니다.

.prov 파일은 차트와 서명된 다이제스트를 짝지어 바이트가 온전하고 신뢰할 수 있는 키가 서명했음을 증명합니다. 이는 안전성이 아니라 진위성입니다. 🔏