Plataforma de construcción confiable

La especificación de SLSA v1.0 reparte tres papeles. Quien produce el paquete elige una plataforma capaz del nivel que busca, sigue un proceso de construcción consistente y distribuye la procedencia. La plataforma genera la procedencia (y, desde L2, la firma) y aporta el aislamiento. Quien consume verifica la procedencia contra lo que espera.

Esto tiene una consecuencia práctica: un equipo no puede «declararse» L3 por buena voluntad si su plataforma no ofrece los controles. Y una plataforma capaz de L3 no sirve de nada si el equipo la configura para saltárselos.

Abre flujos/construir-y-publicar.yml. En L3 la clave de firma no puede estar al alcance de los pasos definidos por quien produce el paquete. En este flujo, uno de los pasos recibe la clave en su entorno: cualquier cosa que ese paso (o una dependencia que ejecute) haga con ella queda fuera del control de la plataforma. El valor de la clave es un marcador ficticio.

L3 pide ejecuciones aisladas y entornos efímeros: lo que hace un trabajo no debe poder influir en el siguiente, ni dejarle archivos, procesos o credenciales. Un ejecutor propio que se reutiliza y cuyo disco persiste incumple justo eso, aunque esté muy bien administrado. Abre plataforma/ejecutores.txt.

El flujo declara una sola clave de caché para todas las ramas y también para las solicitudes de cambios, incluidas las de bifurcaciones. Una caché compartida es una vía de entrada: lo que escribe una ejecución de poca confianza lo restaura otra de más confianza, y acaba dentro de un paquete que luego se firma. L3 pide que esta vía quede cerrada.

El archivo plataforma/controles-de-l3.txt lista seis controles de plataforma y el estado de cada ejecutor. Cuenta los que cumple el ejecutor del taller. Es una medida simple pero útil: dice cuánto camino separa a esa plataforma de L3.