来源证明(Provenance Attestation).

对软件工件如何生成(源代码、构建系统、参数与依赖)进行签名且可机器验证的声明,使使用者能够信任其来源。 它属于网络安全的 应用安全 分类。

对软件工件如何生成(源代码、构建系统、参数与依赖)进行签名且可机器验证的声明,使使用者能够信任其来源。

来源证明用密码学证据而非约定俗成的信任来回答"这份工件来自哪里"的问题。标准格式包括 in-toto 证明与 SLSA Provenance v1,记录源代码仓库提交、构建平台、构建配方、原料与时间戳,并由构建者签名。使用方对照策略校验证明,例如可信构建者身份、允许的源仓库、期望的工作流、SLSA 等级等。Sigstore Cosign、GitHub Actions、Tekton Chains、GitLab CI 以及对齐 SLSA 的构建平台,都可以自动生成证明。来源证明是检测被篡改二进制以及满足美国第 14028 号行政令、欧盟《网络韧性法案》等监管要求的关键控制。

针对 来源证明(Provenance Attestation) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: SLSA Provenance, 构建来源证明。