Continuum Attest 0.2.0 · Paper Moon · Apache-2.0
Continuum Attest crée une provenance vérifiable de vos builds. Le CLI enregistre les étapes de fabrication, les empreintes des entrées et des artefacts déclarés, puis, avec la signature activée, génère un reçu signé qui accompagne votre livraison.
Un CLI autonome pour Linux et macOS. Open source sous Apache-2.0. Aucun compte Continuum Attest requis.
Bundles de confiance signés, contrôles exigibles et signature séparée de la compilation.
Banque et défense
De la livraison à la preuve
Vos équipes choisissent une livraison et déclarent les fichiers et les étapes à tracer dans la chaîne de fabrication existante.
Continuum Attest enregistre les étapes, leurs résultats et les empreintes des entrées et sorties déclarées lors de l’exécution.
Avec la signature activée, Continuum Attest scelle ces informations dans un reçu à conserver avec la livraison et à joindre au dossier d’audit.
Le destinataire contrôle la signature avec les clés qu’il approuve. Avec l’espace de travail et le recalcul activé, il compare aussi les empreintes des fichiers déclarés. Ces contrôles reposent sur la confiance accordée au signataire et à l’environnement de fabrication.
Pour vos décisions
Produisez les éléments de preuve dans une étape de fabrication existante, conservez-les avec vos fichiers livrés et vérifiez-les sur une autre machine.
Conservez avec chaque livraison un reçu signé décrivant les étapes et les empreintes des fichiers déclarés. Vos équipes retrouvent ces éléments sans reconstituer l’historique à partir de journaux dispersés.
Les empreintes permettent de comparer les fichiers déclarés d’une exécution à l’autre. Un contrôle optionnel exécute deux fois le pipeline et compare les résultats pour tester sa reproductibilité.
Avec le reçu et les clés de confiance approuvées, le vérificateur contrôle la signature hors ligne. Il peut le faire sans accès à votre plateforme de fabrication ni à un service Continuum Attest.
Demandez un reçu avec le logiciel livré et comparez son empreinte à celle enregistrée. L’export in-toto permet de transmettre la provenance aux outils compatibles de vos partenaires.
Secteurs
Un audit à préparer, une version à accepter, un incident à instruire : Continuum Attest s’adresse aux organisations qui doivent documenter la fabrication de leurs logiciels critiques.
Secteurs
Votre enjeu
L’apport de Continuum Attest
Votre direction IT doit documenter les évolutions d’un service critique, y compris celles livrées par un prestataire. Lors d’un audit ou d’un incident, retrouver la version et son historique de fabrication devient prioritaire.
Un reçu signé relie les étapes et les fichiers déclarés à la version livrée. Vous disposez d’un élément de traçabilité à joindre aux validations et aux contrôles du changement.
Votre direction qualité prépare le dossier d’une version logicielle ou d’un modèle destiné à un dispositif médical. Elle doit pouvoir relier cette version aux éléments de fabrication et aux contrôles conservés.
Déclarez le logiciel, le modèle et les rapports de test comme sorties du pipeline. Le reçu en enregistre les empreintes pour documenter la version examinée dans votre dossier qualité.
Vous acceptez une livraison fournisseur dans un environnement cloisonné. Vos équipes doivent pouvoir examiner ses éléments de provenance sans ouvrir leur réseau à un service externe.
Transférez le reçu et les clés approuvées selon vos procédures. La signature se vérifie sur un poste isolé, sans accès au système du fournisseur ni à un service Continuum Attest.
Votre direction industrielle doit garder une trace des versions logicielles destinées à des installations exploitées sur de longues durées. Une maintenance ou un incident peut imposer de retrouver leur origine.
Conservez le reçu avec chaque version dans votre processus documentaire. Les empreintes et les étapes enregistrées apportent des éléments pour retracer sa fabrication, même si la plateforme d’origine a changé.
Votre responsable programme doit documenter le binaire remis au client et les éléments utilisés pour le produire. Plusieurs équipes et sous-traitants contribuent au dossier de livraison.
Joignez au binaire un reçu signé portant les empreintes des sources, de la configuration et des sorties déclarées. Il complète les éléments examinés par vos équipes qualité et votre client.
Démarrer
Commencez par une compilation et ses fichiers déclarés. Le CLI comprend l’exécution, la signature, la gestion des clés et la vérification hors ligne.
Apache-2.0
Utilisez Continuum Attest pour vos projets personnels ou professionnels sous la même licence open source. Exécutez un pipeline ou enveloppez une commande dans votre CI existante.
Installer et lancer Continuum Attestcontinuum-attest
Linux et macOS, x86-64 et arm64. Nécessite Rust 1.89 ou ultérieur. Le paquet s’appelle continuum-attest ; la commande installée est attest.
cargo install continuum-attest --lockedVersion 0.2.0 disponible sur crates.io et dans les releases GitHub.
Voir le paquet sur crates.ioSpécifications publiques
Les formats sont documentés publiquement en français et en anglais pour permettre aux destinataires d’examiner les éléments de preuve et de développer leur propre vérificateur.
Schéma du reçu, hachage canonique des fichiers, données signées et règles du magasin de confiance utilisés par la version actuelle.
Projet de spécification pour les extensions futures. La version 0.2.0 n’exécute aucun plugin ; la vérification des reçus fonctionne sans eux.
Un reçu valide établit la cohérence des déclarations signées et des empreintes vérifiées. Il ne certifie ni la qualité du logiciel ni sa conformité. Les bundles transmettent les révocations connues jusqu’à leur dernière mise à jour ; ils ne révèlent pas les révocations ultérieures. Les racines causales ne sont pas publiées dans un journal de transparence et une clé de signature n’établit pas d’identité juridique.