Niveles Build L1 a L3 y sus amenazas

La pista de construcción de SLSA v1.0 va de L0 (sin garantías) a L3. En L1 la procedencia existe: un registro de cómo se construyó el artefacto, con la huella del resultado. Sirve para investigar y evitar equivocaciones, pero quien construye puede escribirla a mano. En L2 la construcción corre en una plataforma alojada, que genera la procedencia y la firma: ya no la escribe quien construye. En L3 la construcción además está endurecida: las ejecuciones no se influyen entre sí y los pasos del flujo no pueden alcanzar la clave de firma.

Cada nivel incluye lo del anterior. Y el nivel de un producto no es su mejor rasgo, sino lo que cumple en todo lo que se le pide.

Abre servicios/como-se-construye.txt. Describe cómo se construyen los cuatro servicios de Higuerilla Software. Uno de ellos se construye en un portátil y no deja ningún registro de procedencia: quien lo recibe no tiene nada con lo que comprobarlo.

Para ubicar un servicio hay que recorrer los requisitos de abajo arriba y detenerse en el primero que no se cumple. Si la plataforma genera y firma la procedencia pero la clave de firma está al alcance de los pasos del flujo, o las ejecuciones comparten el disco, el servicio no alcanza L3 por mucho que su procedencia esté firmada. Usa la referencia de niveles y la ficha del servicio catalogo-api.

El archivo amenazas/mapa-de-amenazas.txt agrupa tres amenazas de la pista de construcción. Con L2 se hace difícil la segunda: alterar el artefacto después de construirlo, porque la firma de la plataforma lo delata. Lo que L2 no impide es lo que ocurre durante la construcción: un paso del flujo con acceso a la clave puede firmar lo que quiera, y una ejecución puede dejar algo en un disco compartido que la siguiente recoge.

Aplica todo lo anterior a los cuatro servicios. Solo uno cumple lo que L3 pide: máquina nueva por trabajo, procedencia generada y firmada por el plano de control, clave fuera del alcance de los pasos y parámetros externos enumerados.