Wat een provenancebestand garandeert

Een provenance-bestand bewijst twee dingen: integriteit, dat de bytes niet zijn gewijzigd, en herkomst, dat een specifieke sleutel het bestand heeft ondertekend.

Het .prov-bestand bevat een SHA-256-digest van het chartarchief. Als zelfs maar één byte verandert, komt de opnieuw berekende hash niet overeen en mislukt de verificatie.

Het bestand is voorzien van een PGP-handtekening die met de privésleutel van de uitgever is gemaakt. Alleen de bijbehorende openbare sleutel kan die valideren.

Het ondertekende blok bevat ook de metadata van de chart, zoals de naam en versie. Daardoor is de handtekening precies aan deze chart gekoppeld en niet aan een hernoemde versie.

Een .prov-bestand is een voor mensen leesbaar, in tekst ondertekend PGP-bericht. Je kunt het openen en de metadata en hashes bekijken tussen de markeringsregels voor de handtekening.

Provenance bewijst wie het bestand heeft ondertekend en dat de bytes intact zijn. Het beoordeelt niet of de chart veilig of foutloos is, alleen of die authentiek is.

Een handtekening is alleen betekenisvol als je de ondertekenaar vertrouwt. Je moet de openbare sleutel van de uitgever al in je sleutelring hebben om de handtekening te verifiëren.

De klassieke provenance van Helm gebruikt de standaard OpenPGP. Dat betekent dat standaard GPG-hulpmiddelen de sleutels achter deze handtekeningen aanmaken en inspecteren.

De index van een chartrepository kan naast de chart een provenance-hash vermelden, zodat clients het .prov-bestand automatisch kunnen ophalen en controleren.

Een .prov-bestand koppelt een chart aan een ondertekende hashwaarde en bewijst dat de bytes intact zijn en door een vertrouwde sleutel zijn ondertekend. Het gaat om authenticiteit, niet om veiligheid. 🔏