Nouvelle version

Continuum Attest 0.2.0 — Paper Moon

Transmettez les clés et révocations dans un bundle signé. Exigez les contrôles nécessaires et consultez un verdict qui indique ce qui a été vérifié.

CLI 0.2.0 · Linux et macOS · Apache-2.0

Voir Paper Moon sur GitHub

Nouveautés de la version 0.2.0

Paper Moon

Une confiance transmissible et un verdict qui précise ses contrôles.

Bundles de confiance signés : clés, révocations datées, validité, mises à jour et refus des versions antérieures.
Exigences explicites avec --require : un contrôle ignoré ne satisfait jamais une exigence. Verdict JSON enrichi avec policy, execution et trust_material.
Contrôles d’isolation détaillés dans le reçu, entrées déclarées protégées et signature dans un processus séparé avec attest sign.
Limites de taille avant analyse des preuves, refus des options sans effet et vérification des reçus 0.1, signatures comprises.

Voir Paper Moon sur GitHub

Version précédente · 0.1.0

Amber Drift

Exécutez une compilation, signez son reçu et transmettez les éléments vérifiables avec le résultat.

Consulter Amber Drift sur GitHub

Périmètre de la version

Le CLI autonome reste disponible sous Apache-2.0 sur Linux et macOS (x86-64 et arm64). Le schéma de reçu reste en version 3 ; les reçus 0.1 restent vérifiables. Les plugins et la publication dans un journal de transparence restent à venir.

Spécifications publiques

Le contrat derrière le reçu

Les formats sont documentés publiquement en français et en anglais pour permettre aux destinataires d’examiner les éléments de preuve et de développer leur propre vérificateur.

Format de reçu

Schéma du reçu, hachage canonique des fichiers, données signées et règles du magasin de confiance utilisés par la version actuelle.

Protocole de plugin

Projet de spécification pour les extensions futures. La version 0.2.0 n’exécute aucun plugin ; la vérification des reçus fonctionne sans eux.

Un reçu valide établit la cohérence des déclarations signées et des empreintes vérifiées. Il ne certifie ni la qualité du logiciel ni sa conformité. Les bundles transmettent les révocations connues jusqu’à leur dernière mise à jour ; ils ne révèlent pas les révocations ultérieures. Les racines causales ne sont pas publiées dans un journal de transparence et une clé de signature n’établit pas d’identité juridique.