EP 14 / EPISODE BRIEF
署名のないビルド成果物
commit・artifact・digestを証拠範囲で照合する
Northstar Labの架空リポジトリとbuild metadataを読み、git log/show、sha256sum -c、jqでCI/CDのactor・commit・artifact・digestを照合します。署名がないことから改ざんを断定せず、証拠の範囲を明記します。
このエピソードで学ぶこと
commitは変更履歴の単位、artifactはビルドされた成果物です。git logは履歴、git showは指定した変更を確認します。digestは内容の照合に使います。
commitの署名確認と成果物のハッシュ照合は別の検証です。どの対象について何を確認したか整理します。
ミッション
- リリース履歴を確認するGitのAuthor・AuthorDateとbuild actorの記録範囲を確認する
- 変更対象を読む対象commitのauthor・時刻・変更ファイルを確認する
- 成果物ハッシュを照合する既知リストのartifactハッシュ照合結果を記録する
- build metadataを揃えるactor・commit・artifact・digestを一つの行で確認する
- 署名欠落の判断を引き継ぐ署名を確認できないこととハッシュ不一致を分け、改ざんを断定せず報告する