Registro privado, digests y firma

El despliegue de api-envios dice api-envios:estable. Una etiqueta es un puntero que quien tenga permiso de escritura puede mover a otra imagen, y el clúster, al reiniciar un pod, vuelve a resolver la etiqueta y trae lo que haya en ese momento. Lo que se probó y escaneó el lunes puede no ser lo que se ejecuta el viernes. Un despliegue por digest nombra un contenido concreto: es el mismo que se escaneó y se firmó, y si alguien intenta cambiarlo, el digest ya no coincide.

La etiqueta sirve para que las personas se entiendan («la versión de esta semana»); el digest es lo que se despliega.

Cuando algo cambia en producción sin un despliegue, lo primero es reconstruir la línea de tiempo: qué contenido tenía la etiqueta, desde cuándo, y quién la movió. El registro conserva el historial de cada etiqueta con fecha, digest y la cuenta que la movió, y esa tabla es la evidencia. El digest anterior al movimiento sospechoso es además el candidato natural para volver atrás: es el último contenido que la cadena produjo y verificó.

Abre el historial de la etiqueta estable y busca el digest que tenía justo antes de que la moviera la cuenta que no era de la cadena.

Un registro tiene dos clases de permiso muy distintas: bajar (leer imágenes) y subir (escribir etiquetas e imágenes). La cadena de integración sube porque es el único proceso que construye, escanea y firma; el clúster solo baja. Cualquier otra cuenta con permiso de subir es una vía para meter una imagen que no pasó por la cadena. El principio es el de siempre, mínimo privilegio, aplicado a cada cuenta de máquina: un permiso por necesidad, con un titular conocido y un uso reciente.

Revisa la lista de cuentas del proyecto y localiza la que tiene un permiso que su titular no debería tener.

Firmar una imagen es dejar constancia de quién la produjo y de que no se alteró desde entonces. En la firma «sin llaves» no hay un archivo de clave que guardar: la firma va ligada a una identidad (por ejemplo, el flujo de trabajo del repositorio que publicó la imagen y la rama de la que salió) y a un emisor que certifica esa identidad. Verificar es comprobar tres cosas: que la firma existe, que el certificado viene de la autoridad esperada y que la identidad coincide con la que la política exige. Una firma válida con una identidad inesperada no vale: demuestra que alguien firmó, no que fuera quien debía.

Lee el resultado de verificar la imagen que corre en producción y localiza la rama de la que salió la firma.

Una firma responde a dos preguntas: «¿quién produjo esto?» y «¿es lo mismo que produjo?». No responde a «¿es seguro?». Una imagen con una vulnerabilidad crítica puede estar perfectamente firmada: la firma garantiza su origen y su integridad, no su contenido. Por eso la firma se combina con el escaneo (que mira el contenido) y con una política que decide qué identidades se aceptan. Una firma sin política que la exija es un adorno, y un escaneo sin firma no dice de dónde vino lo que se escaneó.