Cadena de suministro, firmas y modelos

Al desplegar, el controlador comprueba la firma de cada artefacto y deja el resultado. «Sin firma», «firma inválida» y «clave desconocida» son tres situaciones distintas, pero ninguna equivale a «válida»: en las tres, lo que corre no se puede atribuir con certeza a quien se supone. Para dimensionar el problema se cuentan juntas.

Una firma válida solo prueba que la hizo una clave de la lista de confianza. Si el titular ya había dejado la empresa cuando se desplegó, esa clave debió salir de la lista el mismo día; que siga dando firmas válidas indica que nadie la retiró. Una firma hecha por la misma clave antes de la baja no es el problema: se compara la fecha del despliegue con la de la baja.

Un modelo descargado es un artefacto de terceros y se gobierna con la misma lógica que una dependencia: un formato que no ejecute código al cargarse, una huella verificada contra el origen y una versión fija. Un modelo que incumple las tres cosas a la vez es el primero que se revisa; los que incumplen solo una o dos son una segunda ronda.

La licencia de un modelo no es la del código que lo carga, y algunas restringen el uso comercial. Un producto de la empresa es uso comercial; un modelo que se probó en un entorno de investigación y no está en producción es otra situación. La política lo dice: lo que se cuenta es el uso real, no el inventario entero.

La lista de materiales es lo que permite contestar «¿dónde está este componente?» el día que llega un aviso. Una aplicación que corre en producción sin lista es un punto ciego: no se puede afirmar que esté libre de nada. Se compara el inventario de aplicaciones con las listas que la cadena generó, mirando solo lo que corre en producción.