プロベナンスアテステーション.

ソフトウェア成果物がどのように作られたか(ソース・ビルドシステム・パラメータ・依存関係)を、署名付きかつ機械可読な形で記述する宣言で、利用者がその出所を信頼できるようにするもの。 サイバーセキュリティの アプリケーションセキュリティ カテゴリに属します。

ソフトウェア成果物がどのように作られたか(ソース・ビルドシステム・パラメータ・依存関係)を、署名付きかつ機械可読な形で記述する宣言で、利用者がその出所を信頼できるようにするもの。

プロベナンスアテステーションは、「この成果物はどこから来たのか」という問いに、慣習的な信頼ではなく暗号学的な証拠で答えるものです。標準フォーマットには in-toto アテステーションや SLSA Provenance v1 があり、ソースリポジトリのコミット、ビルドプラットフォーム、レシピ、マテリアル、タイムスタンプを記録し、ビルダーが署名します。利用側は、信頼するビルダーの ID、許容するソースリポジトリ、想定するワークフロー、SLSA レベルなどのポリシーに照らしてアテステーションを検証します。Sigstore Cosign、GitHub Actions、Tekton Chains、GitLab CI、SLSA 準拠のビルド基盤などは、アテステーションを自動生成できます。プロベナンスは、改ざんされたバイナリの検知や、米国大統領令 14028、EU の Cyber Resilience Act などの規制要件を満たすうえで重要な統制です。

プロベナンスアテステーション に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: SLSA プロベナンス, ビルドプロベナンス。