Article · Continuum Attest
SBOM, provenance et attestation : trois notions souvent confondues
Les trois documents peuvent accompagner le même logiciel. Ils ne racontent pas la même chose : composition, fabrication et déclaration sur un artefact.
Partir d’un fichier concret
Une équipe livre service.tar.gz. Le destinataire veut connaître les bibliothèques présentes, comprendre la fabrication et vérifier que les documents concernent bien son archive. Ces questions sont proches, mais demandent des informations différentes.
La SBOM sert à examiner la composition déclarée. La provenance donne un contexte de fabrication. L’attestation rattache une déclaration à un sujet identifié. Le tableau SBOM vs attestation résume leurs rôles.
Pourquoi un document ne remplace pas les autres
Une liste de composants ne dit pas forcément quelle commande a produit l’archive. Une trace de compilation peut inclure un fichier de verrouillage sans énumérer tous les composants présents dans le résultat final.
L’objectif n’est donc pas de choisir un mot unique. Il consiste à identifier la question posée, puis le document qui apporte les informations nécessaires pour y répondre.
Par exemple, une mise à jour de dépendance se lit dans la composition et peut aussi modifier la provenance. Les deux documents restent utiles même lorsqu’ils mentionnent le même composant, parce qu’ils l’inscrivent dans un contexte différent.
Ajouter la signature sans changer la nature du document
Une signature lie les octets signés à une clé. Elle ne change pas une SBOM en description exhaustive du build. Elle ne complète pas les entrées qu’une provenance a omis de déclarer.
Le destinataire doit toujours vérifier le lien à l’artefact et déterminer quelles clés il approuve. in-toto aide à exprimer le sujet et le type de déclaration dans un format d’échange.
Un rôle précis pour le reçu
Continuum Attest enregistre la fabrication dans un périmètre déclaré et permet de signer le reçu produit. Une étape de génération de SBOM peut faire partie du build, mais produire le reçu ne signifie pas automatiquement produire cet inventaire.
Après avoir choisi les documents, il faut encore les conserver et les transmettre avec le bon fichier. C’est le sujet de Le logiciel est livré. Sa preuve devrait l’être aussi..