Release confiável: o gate que junta assinatura, proveniência e SBOM

Cada prova fecha uma pergunta diferente

O NIST SSDF recomenda práticas de preparação, proteção, produção e resposta. Sigstore mostra por que a verificação precisa de valores esperados — identidades, emissores e artefacto — e não apenas de uma operação criptográfica bem-sucedida.

SLSA organiza garantias crescentes sobre origem e build. OpenSSF salienta que proveniência cria ligações verificáveis, não confiança automática. A decisão pertence à política do consumidor e ao contexto de execução.

Transformar metadados em uma decisão repetível

Defina valores esperados fora do pipeline que produz o artefacto. Se o mesmo processo puder alterar artefacto, proveniência e política, a verificação perde independência. Separe produção, autorização de publicação e promoção para produção.

Adotar sem fingir maturidade instantânea

Comece pelos artefactos mais materiais e por identidade de workload sem segredos de longa duração. Fixe digest e assinatura, depois adicione proveniência e SBOM. Marque claramente onde a prova ainda é autoafirmada ou incompleta.

Para software de terceiros, preserve artefacto, assinatura, bundle/proveniência, SBOM, licença, resultado de política e decisão. A impossibilidade de verificar é um facto de risco, não um motivo para fabricar confiança.

• Impedir downgrade silencioso de uma release com proveniência para outra sem proveniência.
• Alertar mudança inesperada de repositório, workflow, issuer, builder ou identidade.
• Testar o gate com assinatura errada, digest alterado, SBOM de outro artefacto e exceção expirada.
• Conservar metadados pelo tempo necessário para investigar e reproduzir a decisão.