Provenance Dosyasının Garanti Ettikleri

İnternetten bir grafik indirdiniz. Hiç kimsenin grafik size ulaşırken onu değiştirmediğini nasıl anlarsınız? Helm bu sorunu bir köken dosyasıyla çözer.

Bir köken dosyası, grafik arşivinin yanında aynı ada ve .prov son ekine sahip olarak bulunur. Bu, grafiğin imzalı özgünlük makbuzudur.

Bir köken dosyası iki şeyi kanıtlar: baytların değiştirilmediği bütünlüğü ve belirli bir anahtarın dosyayı imzaladığı kaynağı.

.prov dosyası, grafik arşivinin SHA-256 özetini depolar. Tek bir bayt bile değişirse yeniden hesaplanan karma eşleşmez ve doğrulama başarısız olur.

Dosya, yayımlayanın özel anahtarıyla oluşturulmuş bir PGP imzasıyla sarılır. Bunu yalnızca eşleşen açık anahtarları doğrulayabilir.

İmzalı blok, grafik ad ve sürüm gibi üst verilerini de kopyalar. Böylece imza yeniden adlandırılmış bir grafiğe değil, tam olarak bu grafiğe bağlanır.

.prov, insanlar tarafından okunabilen açık imzalı bir PGP iletisidir. Dosyayı açıp imza işaretleri arasına sarılmış üst verileri ve özetleri görebilirsiniz.

Köken bilgisi, kimin imzaladığını ve baytların sağlam olduğunu kanıtlar. Grafiğin güvenli veya hatasız olup olmadığını değerlendirmez; yalnızca gerçek olduğunu gösterir.

Bir imza, yalnızca imzalayana güveniyorsanız anlamlıdır. İmzayı doğrulamak için yayımlayanın açık anahtarını önceden anahtar zincirinizde bulundurmanız gerekir.

Helm'in klasik köken doğrulaması OpenPGP standardını kullanır. Bu, standart GPG araçlarının bu imzaların arkasındaki anahtarları oluşturduğu ve incelediği anlamına gelir.

Bir grafik deposunun dizini, grafiğin yanında bir köken karmasını listeleyebilir; böylece istemciler .prov dosyasını otomatik olarak alıp denetleyebilir.

Bir .prov dosyası, bir grafiği imzalı bir özetle eşleştirerek baytların değiştirilmediğini ve güvenilir bir anahtar tarafından imzalandığını kanıtlar. Bu güvenlik değil, özgünlük kanıtıdır. 🔏