Firma, procedencia y SBOM, qué prueba cada cosa

Firmar un artefacto produce una prueba de que cierta identidad lo avaló y de que no cambió desde entonces. No prueba que el artefacto sea seguro ni que esa identidad sea la que debería haberlo firmado. Una firma válida de la persona equivocada es una firma válida.

Por eso el control de verdad no es «tiene firma» sino «la firma es válida y la identidad que firmó es la que el diseño autoriza para este artefacto». La primera mitad la comprueba una herramienta. La segunda la tiene que haber decidido alguien antes.

Un artefacto que no tiene firma ni procedencia es lo más débil que puede correr en una plataforma: nadie avaló quién lo hizo y nadie dejó constancia de cómo se hizo. Puede ser perfectamente legítimo. La diferencia es que nada lo demuestra.

Consulta los artefactos y busca el que no tiene firma.

Un SBOM solo sirve si describe lo que corre. Uno que lista los componentes de la versión anterior da una falsa tranquilidad: parece cubrir el servicio y no cubre lo que cambió. Comprobar que la versión descrita en el inventario coincide con la versión desplegada es la primera revisión, y la más barata.

Compara la versión que describe cada SBOM con la versión que figura en la tabla de artefactos.

SLSA es un marco que gradúa la confianza en cómo se construye un artefacto. En la pista de construcción, el nivel 0 no ofrece ninguna garantía. El nivel 1 exige que exista procedencia, aunque sin protección contra manipulación. El nivel 2 exige una plataforma de construcción alojada y procedencia firmada por ella. El nivel 3 exige construcciones endurecidas, donde falsificar la procedencia exige una vulnerabilidad fuera del alcance de casi cualquiera.

Uno de los artefactos de Aceituno declara un nivel que no le corresponde. Lee cómo se construyó analitica-lotes y deduce a qué nivel llega con los criterios de la tabla.

Ya se ve el patrón: lo difícil no es tener herramientas de firma sino decidir qué se exige. Aceituno no puede pedir hoy el nivel más alto de golpe, porque uno de sus artefactos se construye en un portátil. Un arquitecto escribe la política en pasos que cada cual pueda cumplir y fija una fecha para cada uno.