Guide · Continuum Attest
SBOM vs attestation : composition, provenance et signature
Une SBOM, une provenance et une attestation répondent à des questions différentes. Les réunir rend une livraison plus compréhensible ; les confondre crée des attentes que ces documents ne peuvent pas satisfaire.
Comparer les trois notions
| Notion | Question principale | Contenu attendu |
|---|---|---|
| SBOM | De quels composants le logiciel est-il constitué ? | Inventaire de composants et informations associées |
| Provenance de build | Comment cet artefact a-t-il été produit ? | Entrées, étapes et contexte de fabrication |
| Attestation | Quelle déclaration porte sur cet artefact ? | Sujet identifié et déclaration typée, éventuellement signée |
Une SBOM est utile pour examiner les composants connus d’un logiciel. Elle ne décrit pas nécessairement les commandes qui ont produit le binaire. Une provenance détaille sa fabrication, mais ne constitue pas automatiquement un inventaire complet de ses dépendances.
La signature est une autre dimension
Un document peut être signé, quel que soit son rôle. Une signature permet de contrôler son intégrité et son rattachement à une clé. Elle ne remplit pas les champs absents et ne confirme pas, à elle seule, la justesse du contenu.
On peut ainsi signer une SBOM ou transporter une provenance dans une attestation. Ce sont des combinaisons utiles, et non des synonymes.
Un exemple de livraison
Pour une archive applicative, conservez une SBOM associée à la version effectivement livrée. Joignez aussi une provenance liée aux artefacts produits. Le destinataire doit pouvoir relier chaque document au bon fichier et comprendre comment vérifier sa signature lorsqu’il en comporte une.
Le reçu Continuum Attest couvre les étapes et les fichiers déclarés pendant le build. Il ne faut pas déduire de sa présence qu’une SBOM complète a été produite : sa génération relève d’un outil et d’une étape adaptés.
Où intervient in-toto ?
in-toto fournit un cadre pour exprimer des déclarations sur des artefacts. Le type de prédicat indique le sens du contenu. Une provenance SLSA utilise ce mécanisme pour décrire la fabrication.
L’article SBOM, provenance et attestation : trois notions souvent confondues développe l’exemple. Pour mettre en pratique la partie provenance, commencez par le CLI.
Référence : présentation de SPDX, un standard utilisé pour les SBOM.