สิ่งที่ไฟล์ Provenance รับประกัน

คุณดาวน์โหลดชาร์ตจากอินเทอร์เน็ต แล้วจะรู้ได้อย่างไรว่าระหว่างทางไม่มีใครแก้ไขชาร์ตนั้น Helm ตอบคำถามนี้ด้วยไฟล์หลักฐานแหล่งที่มา

ไฟล์หลักฐานแหล่งที่มาจะอยู่ถัดจากไฟล์เก็บถาวรของชาร์ต โดยใช้ชื่อเดียวกันและเติมส่วนต่อท้าย .prov ไฟล์นี้คือใบรับรองความถูกต้องที่ลงลายเซ็นของชาร์ต

ไฟล์หลักฐานแหล่งที่มายืนยันสองสิ่ง ได้แก่ความถูกต้องสมบูรณ์ ซึ่งหมายความว่าไบต์ต่าง ๆ ไม่ถูกแก้ไข และแหล่งที่มา ซึ่งหมายความว่ากุญแจเฉพาะตัวหนึ่งเป็นผู้ลงลายเซ็น

ไฟล์ .prov เก็บไดเจสต์ SHA-256 ของไฟล์เก็บถาวรชาร์ตไว้ หากมีการเปลี่ยนแปลงแม้เพียงหนึ่งไบต์ ค่าแฮชที่คำนวณใหม่จะไม่ตรงกัน และการตรวจสอบจะล้มเหลว

ไฟล์นี้ถูกห่อหุ้มด้วยลายเซ็น PGP ที่สร้างด้วยกุญแจส่วนตัวของผู้เผยแพร่ มีเพียงกุญแจสาธารณะที่ตรงกันของผู้เผยแพร่เท่านั้นที่ตรวจสอบลายเซ็นได้

บล็อกที่ลงลายเซ็นยังคัดลอกข้อมูลเมตาของชาร์ต เช่น ชื่อและเวอร์ชันไว้ด้วย สิ่งนี้เชื่อมลายเซ็นเข้ากับชาร์ตนี้โดยเฉพาะ ไม่ใช่ชาร์ตที่เปลี่ยนชื่อแล้ว

ไฟล์ .prov คือข้อความ PGP ที่ลงลายเซ็นแบบอ่านเนื้อหาได้และมนุษย์อ่านได้ คุณสามารถเปิดดูเพื่อเห็นข้อมูลเมตาและค่าแฮชที่อยู่ระหว่างเครื่องหมายลายเซ็น

หลักฐานแหล่งที่มายืนยันว่าใครเป็นผู้ลงลายเซ็นและไบต์ต่าง ๆ ยังคงสมบูรณ์ แต่ไม่ได้ตัดสินว่าชาร์ตนั้นปลอดภัยหรือไม่มีข้อผิดพลาด เพียงยืนยันว่าเป็นชาร์ตของแท้

ลายเซ็นจะมีความหมายก็ต่อเมื่อคุณเชื่อถือผู้ลงลายเซ็น คุณต้องมีกุญแจสาธารณะของผู้เผยแพร่อยู่ในพวงกุญแจของคุณก่อน จึงจะตรวจสอบลายเซ็นได้

หลักฐานแหล่งที่มาแบบดั้งเดิมของ Helm ใช้มาตรฐาน OpenPGP นั่นหมายความว่าเครื่องมือ GPG มาตรฐานใช้สร้างและตรวจสอบกุญแจที่อยู่เบื้องหลังลายเซ็นเหล่านี้

ดัชนีของคลังเก็บชาร์ตสามารถแสดงแฮชของหลักฐานแหล่งที่มาไว้ข้างชาร์ตได้ ทำให้ไคลเอ็นต์ดึงไฟล์ .prov และตรวจสอบโดยอัตโนมัติ

เพื่อนร่วมทีมถามว่าไฟล์หลักฐานแหล่งที่มาของ Helm รับรองอะไรเกี่ยวกับชาร์ตได้จริง

ไฟล์ .prov จับคู่ชาร์ตกับไดเจสต์ที่ลงลายเซ็น เพื่อยืนยันว่าไบต์ต่าง ๆ ยังคงสมบูรณ์และมีคีย์ที่เชื่อถือได้เป็นผู้ลงลายเซ็น ไฟล์นี้ยืนยันความแท้ ไม่ใช่ความปลอดภัย 🔏