Article · Continuum Attest
Le logiciel est livré. Sa preuve devrait l’être aussi.
Une preuve portable reste exploitable lorsque le logiciel quitte l’environnement qui l’a construit. Le reçu signé accompagne le fichier au lieu de rester uniquement derrière un lien vers un job.
Ce qui se perd au moment du transfert
Dans l’espace de travail du producteur, le contexte est accessible : fichiers, commandes et journaux se côtoient. Après copie de l’archive vers une autre machine, le destinataire peut n’avoir que le nom du fichier et une explication envoyée séparément.
Conserver un reçu avec les artefacts réduit cette perte de contexte. Le document identifie la fabrication enregistrée et les empreintes déclarées. Sa signature rend les modifications du document détectables.
Préparer un ensemble utile
Le destinataire a besoin du reçu, des artefacts concernés et des éléments de confiance nécessaires. Pour recalculer certaines empreintes, il lui faudra aussi l’espace de travail correspondant. Une archive de preuve peut servir au transport des éléments requis pour les contrôles qu’elle prend en charge.
Les clés publiques doivent être approuvées par le destinataire. Ajouter une clé dans le même dossier que le reçu ne suffit pas à justifier cette confiance. Il faut pouvoir distinguer le transport d’une clé de la décision de lui faire confiance.
Vérifier avant de dépendre du réseau
Un exercice simple consiste à préparer les éléments, couper l’accès au système de build et lancer les contrôles prévus. Le guide Vérification hors ligne décrit les différents modes du CLI.
Observez les contrôles exécutés et les erreurs éventuelles. Un contrôle de signature réussi ne signifie pas que les fichiers absents ont été comparés. Le test doit correspondre à la question posée sur la livraison.
Commencer petit
Suivez la documentation CLI pour produire un premier reçu signé. Consultez ensuite le format du reçu pour comprendre son contenu et ses règles de signature.
Conservez cet exemple comme référence : un build, ses fichiers déclarés, son reçu et un résultat de vérification. Vous pourrez le rejouer quand la chaîne de fabrication évolue.
Continuum Attest donne à cette démarche un objet concret : une preuve portable que le destinataire peut examiner avec ses propres outils de vérification.