摘要

  • SLSA v1.2 将溯源视为必须由人或系统按预期进行检查的证据；证明本身不会自动产生接受决定。
  • 规范把制品绑定的证明、信任根、软件包名称绑定的预期，以及生态、消费者或监测方的决定分别处理。
  • 一份预期与响应凭证可以避免把形式正确的证明夸大为对整个版本的普遍批准。

证明只回答一个受限的问题

SLSA 的构建溯源模型并不是为项目贴上笼统的“安全”标签。它说明的是：某个构建平台通过执行一项 buildDefinition 产出了一组软件制品。证明可以用摘要关联 subject，记录构建方、构建类型、参数和依赖。它的用途是让验证者把实际构建同预先期望的构建相比较，也让他人在需要时重建或调查。

分发规范进一步限制了这种说法：证明应绑定到制品，不应绑定到 release。一项 release 可能包含多种架构、平台或环境的制品；它们不必同时构建，之后还可能追加制品及证明。因此，“某 release”不是自动替代“这个文件与这份证明之间的关系”的说法。

这不是证明的缺陷，而是它可核验的原因。SLSA 的验证指南直言，溯源在有人检查前不会做任何事情。必须保留三个步骤：有人产生证据；验证者拿它同预期比较；拥有权限的一方再决定接受、拒绝、隔离或监测。若把三步压缩为一张“已批准”的标签，后来就无法知道其实际含义。

预期不会从证明信封里自行长出来

SLSA 要求验证者配置信任根：哪些构建方身份被承认，以及每个身份被信任到哪个 SLSA Build Level。随后，验证者检查信封签名，把 subject 与制品摘要对应起来，再比对 buildType 和 externalParameters 是否符合预期。

一份签名正确的证明并不替验证者选择这些预期。规范允许不同验证者使用不同信任根，并明确指出：预期绑定的是软件包名称，溯源绑定的是制品。生态系统可以把包名绑定到规范来源仓库；消费者可以有更严格的规则；生产者可以经认证渠道声明预期；首次信任模型可以把先前状态作为比对基线。这些安排回答的是另一问题：在这个上下文中，这个软件包允许什么？证明本身并不回答。

externalParameters 最能说明边界。它们受外部控制，必须被记录，也必须在下游检查。字段被写入，并不等于其值被允许。SLSA 建议对未被识别的外部参数采取拒绝态度。同样，某个 builder.id 出现在证明中，也不迫使每个生态或买方把它列入信任根。真实性把一项声明同其签发者连接起来；信任仍然是政策选择。

接受点有自己的权利人

SLSA 认可多种验证位置：软件包生态可在上传时验证，消费者可在下载或使用前验证，监测方可对所选软件包持续验证并发布结果。这些位置可以并存。注册表决定是否接收上传；消费者决定是否安装或部署；监测方可以发现差异。规范同时提醒，发现失败若没有人或自动化系统采取后续行动，价值有限。

所以，同一制品完全可能被一项政策接受、被另一项政策拒绝，或被监测到但仍等待处理。这不是溯源自相矛盾，而是决定所有者不同的正常结果。分发规范说，溯源是让仓库能够验证一项可能的发布政策所需的证据。它不是那项政策，也不是政策执行，更不是已接受的记录。

“提供 SLSA 溯源”因而是一句有用却受限的话。它不意味着所有消费者都已同意，不意味着 release 的每个制品都已满足同一规则，也不意味着不匹配一定触发特定修复。

用预期与响应凭证保留边界

最小的控制措施不是发明新的 SLSA 格式，而是由生态、消费者或监测方在验证决定旁保存一份预期与响应凭证。它应写明制品摘要和证明引用、验证者与政策版本、实际使用的信任根条目、预期的规范来源、buildType、允许的外部参数范围、核验时间和结果。

若失败，凭证还应说明发生了什么：拒绝、隔离、告警、临时例外还是待处理，并注明谁可以改变状态。若预期改变，应链接获授权的变更，而不是悄悄改写旧判断。这样并不会承诺普遍安全、依赖完整或快速修复；它只是把“真实性”“可接受性”“监测发现”和“完成修复”保留为不同事实。

不借用他人的权力

卢恒的思路在此只是方法，而不是关于 SLSA 的事实来源：协调记录应诚实呈现它有限的权限，不能把尚未采纳的现实宣布为既成事实。SLSA 说明怎样生成、分发和核验溯源，却没有取消谁值得信任、哪个值被允许、失败后谁负责行动这些独立决定。

代价最高的捷径，是把“构建真实”“软件包已批准”“版本已完成”和“响应有效”写成同一句话。一旦信任根变更、增加新架构、例外到期或监测方发现不一致，这句话就难以重建。凭证让证据、预期与决定各自可见，也让它们能够合作。

来源

  1. SLSA v1.2 — Build: Verifying artifacts
  2. SLSA v1.2 — Build: Provenance
  3. SLSA v1.2 — Build: Distributing provenance