Co gwarantuje plik pochodzenia

Pobrali Państwo chart z internetu. Skąd wiadomo, że nikt nie zmodyfikował go po drodze? Helm odpowiada na to za pomocą pliku provenance.

Plik provenance znajduje się obok archiwum chartu i ma tę samą nazwę oraz sufiks .prov. Jest podpisanym potwierdzeniem autentyczności chartu.

Plik provenance potwierdza dwie kwestie: integralność, czyli że bajty nie zostały zmienione, oraz pochodzenie, czyli że plik został podpisany konkretnym kluczem.

Plik .prov przechowuje digest SHA-256 archiwum chartu. Jeśli zmieni się choćby jeden bajt, ponownie obliczony hash nie będzie pasować i weryfikacja zakończy się niepowodzeniem.

Plik zawiera podpis PGP utworzony za pomocą prywatnego klucza wydawcy. Tylko odpowiadający mu klucz publiczny może go zweryfikować.

Podpisany blok zawiera również kopię metadanych chartu, takich jak nazwa i wersja. Wiąże to podpis dokładnie z tym chartem, a nie z chartem o zmienionej nazwie.

Plik .prov to czytelna dla człowieka wiadomość PGP w formacie clear-signed. Można ją otworzyć i zobaczyć metadane oraz hashe ujęte między znacznikami podpisu.

Provenance potwierdza, kto złożył podpis i że bajty są nienaruszone. Nie ocenia, czy chart jest bezpieczny lub wolny od błędów, a jedynie potwierdza jego autentyczność.

Podpis ma znaczenie tylko wtedy, gdy ufają Państwo osobie podpisującej. Aby go zweryfikować, muszą Państwo wcześniej posiadać klucz publiczny wydawcy w swoim pęku kluczy.

Klasyczny mechanizm provenance w Helm korzysta ze standardu OpenPGP. Oznacza to, że standardowe narzędzia GPG tworzą i sprawdzają klucze używane przez te podpisy.

Indeks repozytorium chartów może zawierać hash provenance obok chartu, dzięki czemu klienci mogą automatycznie pobrać i sprawdzić plik .prov.

Współpracownik pyta, co właściwie plik provenance Helm gwarantuje w odniesieniu do chartu.

Plik .prov łączy chart z podpisanym digestem, potwierdzając, że bajty są niezmienione i że podpisał je zaufany klucz. Świadczy to o autentyczności, a nie o bezpieczeństwie. 🔏