Attestation de provenance.

Déclaration signée et vérifiable par machine décrivant comment un artefact logiciel a été produit - source, système de build, paramètres, dépendances - pour que les consommateurs aient confiance en son origine. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.

Déclaration signée et vérifiable par machine décrivant comment un artefact logiciel a été produit - source, système de build, paramètres, dépendances - pour que les consommateurs aient confiance en son origine.

Une attestation de provenance répond à "d'où vient cet artefact ?" par des preuves cryptographiques plutôt que par la convention. Les formats standards comprennent les attestations in-toto et SLSA Provenance v1, qui consignent le commit du dépôt source, la plateforme de build, la recette, les matériaux et les horodatages, et qui sont signés par le builder. Les consommateurs vérifient ces attestations selon une politique : identité du builder approuvé, dépôts autorisés, workflow attendu, niveau SLSA, etc. Sigstore Cosign, GitHub Actions, Tekton Chains, GitLab CI et les plateformes de build compatibles SLSA produisent ces attestations automatiquement. La provenance est un contrôle clé pour détecter les binaires altérés et répondre aux exigences réglementaires comme le décret 14028 et le Cyber Resilience Act.

Les défenses contre Attestation de provenance combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Provenance SLSA, Provenance de build.