Procedencia, firmas y lista de materiales

Un SBOM es el inventario de componentes de un artefacto: nombre, versión y proveedor de cada pieza. Los formatos más usados son CycloneDX y SPDX. Sirve para responder, cuando aparece un fallo nuevo en una biblioteca, «¿lo llevamos dentro y dónde?» sin reabrir el artefacto. Pero solo vale si describe ese artefacto: una lista generada para otra versión da una confianza que no corresponde.

Un SBOM es una afirmación de quien lo generó; hay que comprobar a qué artefacto se refiere y cuándo se generó.

La firma permite verificar, con la identidad del firmante, que el artefacto es el que salió del pipeline y no se alteró en el registro o en tránsito. La entrega 4.2.0 incluye tres artefactos y la verificación del equipo de plataforma. Un artefacto sin firma no se puede verificar: puede ser perfectamente legítimo, pero quien lo despliega tiene que fiarse de dónde lo encontró.

Abre el resultado de la verificación y mira el estado de cada artefacto.

Que la firma sea válida solo dice que la clave firmó ese contenido; no dice que fuera la identidad correcta. Los artefactos del pipeline deben ir firmados por la identidad del flujo de despliegue, no por una persona con su cuenta personal. Una firma válida de una identidad inesperada es una señal tan importante como una ausente: puede ser un artefacto construido a mano, fuera del pipeline y de sus controles.

Compara la identidad del firmante de cada artefacto con la identidad esperada que indica el encabezado.

SLSA (versión 1.0, pista de construcción) describe niveles de garantía de cómo se construye un artefacto. Cada nivel incluye los requisitos del anterior, y se declara el nivel que se cumple, no el que se desea. Para evaluar, se leen dos cosas: si existe procedencia y si está firmada, y dónde y cómo se construye. La descripción de la plataforma de Cardamomo y la tabla de niveles están en el escenario.

El resultado es un nivel concreto, entre L0 y L3, y se justifica con lo que falta para el siguiente.

El SBOM entregado con la versión 4.2.0 tiene un encabezado que dice qué artefacto describe y cuándo se generó. Si la versión descrita no es la entregada, la lista puede omitir componentes añadidos después, y quien la use para buscar un fallo obtendrá una respuesta falsa. La comprobación es de dos líneas, y es de las primeras que debe hacer quien recibe una entrega.