يعالج موضوع «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» مشكلة محددة: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وينطلق من عناصر فعلية هي SLSA 1.2, provenance, attestation, build platform, artifact للوصول إلى قرار يمكن التحقق منه بدلا من وصف عام.
المشكلة العملية: SLSA 1.2 مع provenance
التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c11 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. لاختبار artifact تتضمن fixture slsa-provenance-ar-c11 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SLSA 1.2. بعد ذلك يراقب التشغيل الانتقال بين SLSA 1.2 و provenance، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق provenance يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل slsa-provenance-ar-c11 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من build platform.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c12 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SLSA 1.2 وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود provenance و build platform؛ فما لا يثبته السيناريو slsa-provenance-ar-c12 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل artifact نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c13 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. لاختبار provenance تتضمن fixture slsa-provenance-ar-c13 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation. بعد ذلك يراقب التشغيل الانتقال بين attestation و build platform، بينما يتحقق الأمن من أن artifact لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق build platform يعيد rollback الإعداد المرتبط بـ artifact ثم يشغل slsa-provenance-ar-c13 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SLSA 1.2.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c14 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود build platform و SLSA 1.2؛ فما لا يثبته السيناريو slsa-provenance-ar-c14 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل provenance نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
حالات الفشل والإشارات وطريقة التشخيص
نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c21 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل artifact نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار SLSA 1.2 تتضمن fixture slsa-provenance-ar-c21 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى provenance. بعد ذلك يراقب التشغيل الانتقال بين provenance و attestation، بينما يتحقق الأمن من أن build platform لا يحصل على صلاحية ضمنية أو بيانات زائدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c22 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. إذا فشل تحقق build platform يعيد rollback الإعداد المرتبط بـ artifact ثم يشغل slsa-provenance-ar-c22 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SLSA 1.2. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى provenance وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود attestation و artifact؛ فما لا يثبته السيناريو slsa-provenance-ar-c22 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c23 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل provenance نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار attestation تتضمن fixture slsa-provenance-ar-c23 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى build platform. بعد ذلك يراقب التشغيل الانتقال بين build platform و artifact، بينما يتحقق الأمن من أن SLSA 1.2 لا يحصل على صلاحية ضمنية أو بيانات زائدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c24 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. إذا فشل تحقق SLSA 1.2 يعيد rollback الإعداد المرتبط بـ provenance ثم يشغل slsa-provenance-ar-c24 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى build platform وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود artifact و provenance؛ فما لا يثبته السيناريو slsa-provenance-ar-c24 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
نشر تدريجي وخطة رجوع
التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c31 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. وتبقى الخلاصة محكومة بحدود attestation و artifact؛ فما لا يثبته السيناريو slsa-provenance-ar-c31 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل SLSA 1.2 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار provenance تتضمن fixture slsa-provenance-ar-c31 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c32 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. بعد ذلك يراقب التشغيل الانتقال بين build platform و artifact، بينما يتحقق الأمن من أن SLSA 1.2 لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق artifact يعيد rollback الإعداد المرتبط بـ SLSA 1.2 ثم يشغل slsa-provenance-ar-c32 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من provenance. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c33 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. وتبقى الخلاصة محكومة بحدود artifact و provenance؛ فما لا يثبته السيناريو slsa-provenance-ar-c33 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار build platform تتضمن fixture slsa-provenance-ar-c33 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى artifact.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c34 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. بعد ذلك يراقب التشغيل الانتقال بين SLSA 1.2 و provenance، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق provenance يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل slsa-provenance-ar-c34 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من build platform. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى artifact وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.
معايير قرار الإنتاج
تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c41 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود build platform و SLSA 1.2؛ فما لا يثبته السيناريو slsa-provenance-ar-c41 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل provenance نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c42 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. لاختبار build platform تتضمن fixture slsa-provenance-ar-c42 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى artifact. بعد ذلك يراقب التشغيل الانتقال بين artifact و SLSA 1.2، بينما يتحقق الأمن من أن provenance لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق SLSA 1.2 يعيد rollback الإعداد المرتبط بـ provenance ثم يشغل slsa-provenance-ar-c42 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c43 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى artifact وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SLSA 1.2 و attestation؛ فما لا يثبته السيناريو slsa-provenance-ar-c43 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل build platform نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c44 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. لاختبار SLSA 1.2 تتضمن fixture slsa-provenance-ar-c44 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى provenance. بعد ذلك يراقب التشغيل الانتقال بين provenance و attestation، بينما يتحقق الأمن من أن build platform لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق attestation يعيد rollback الإعداد المرتبط بـ build platform ثم يشغل slsa-provenance-ar-c44 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من artifact.
حدود الثقة حول attestation
التنفيذ المتين يفصل بين ما يقترحه النموذج وما يسمح به التطبيق وما يتحقق منه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c51 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. إذا فشل تحقق SLSA 1.2 يعيد rollback الإعداد المرتبط بـ provenance ثم يشغل slsa-provenance-ar-c51 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من attestation. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى build platform وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود artifact و provenance؛ فما لا يثبته السيناريو slsa-provenance-ar-c51 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c52 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل build platform نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار artifact تتضمن fixture slsa-provenance-ar-c52 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى SLSA 1.2. بعد ذلك يراقب التشغيل الانتقال بين SLSA 1.2 و provenance، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c53 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. إذا فشل تحقق attestation يعيد rollback الإعداد المرتبط بـ build platform ثم يشغل slsa-provenance-ar-c53 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من artifact. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى SLSA 1.2 وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود provenance و build platform؛ فما لا يثبته السيناريو slsa-provenance-ar-c53 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c54 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل SLSA 1.2 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار provenance تتضمن fixture slsa-provenance-ar-c54 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation. بعد ذلك يراقب التشغيل الانتقال بين attestation و build platform، بينما يتحقق الأمن من أن artifact لا يحصل على صلاحية ضمنية أو بيانات زائدة.
بناء مسار القرار باستخدام build platform
نقطة البداية ليست ميزة جديدة، بل حد قرار يمكن ملاحظته وتدقيقه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c61 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. بعد ذلك يراقب التشغيل الانتقال بين SLSA 1.2 و provenance، بينما يتحقق الأمن من أن attestation لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق provenance يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل slsa-provenance-ar-c61 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من build platform. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى artifact وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c62 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. وتبقى الخلاصة محكومة بحدود provenance و build platform؛ فما لا يثبته السيناريو slsa-provenance-ar-c62 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل artifact نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار SLSA 1.2 تتضمن fixture slsa-provenance-ar-c62 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى provenance.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c63 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. بعد ذلك يراقب التشغيل الانتقال بين attestation و build platform، بينما يتحقق الأمن من أن artifact لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق build platform يعيد rollback الإعداد المرتبط بـ artifact ثم يشغل slsa-provenance-ar-c63 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من SLSA 1.2. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى provenance وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c64 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. وتبقى الخلاصة محكومة بحدود build platform و SLSA 1.2؛ فما لا يثبته السيناريو slsa-provenance-ar-c64 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل provenance نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار attestation تتضمن fixture slsa-provenance-ar-c64 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى build platform.
التحقق من artifact بدليل قابل للملاحظة
التصميم القابل للتشغيل يوضح من يقرر، وما الدليل المتاح، وما الذي يمكن الرجوع عنه.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c71 من artifact ويعامل SLSA 1.2 كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على provenance إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ attestation بإحداث الأثر المقصود حول build platform. لاختبار SLSA 1.2 تتضمن fixture slsa-provenance-ar-c71 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى provenance. بعد ذلك يراقب التشغيل الانتقال بين provenance و attestation، بينما يتحقق الأمن من أن build platform لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق attestation يعيد rollback الإعداد المرتبط بـ build platform ثم يشغل slsa-provenance-ar-c71 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من artifact.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c72 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى provenance وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود attestation و artifact؛ فما لا يثبته السيناريو slsa-provenance-ar-c72 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل SLSA 1.2 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c73 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. لاختبار attestation تتضمن fixture slsa-provenance-ar-c73 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى build platform. بعد ذلك يراقب التشغيل الانتقال بين build platform و artifact، بينما يتحقق الأمن من أن SLSA 1.2 لا يحصل على صلاحية ضمنية أو بيانات زائدة. إذا فشل تحقق artifact يعيد rollback الإعداد المرتبط بـ SLSA 1.2 ثم يشغل slsa-provenance-ar-c73 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من provenance.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c74 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى build platform وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود artifact و provenance؛ فما لا يثبته السيناريو slsa-provenance-ar-c74 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به.
نقطة دليل: توضح Mozilla أن CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. ويُستخدم هذا المرجع لتأطير القسم «التحقق من artifact بدليل قابل للملاحظة» من دون أن يحل محل الاختبار المحلي. [S7]ضوابط تستمر بعد الإطلاق
تظهر الصعوبة الحقيقية عندما يلتقي المسار الطبيعي بالصلاحيات والأخطاء وقيود الإنتاج.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c81 من SLSA 1.2 ويعامل provenance كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على attestation إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ build platform بإحداث الأثر المقصود حول artifact. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل SLSA 1.2 نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار provenance تتضمن fixture slsa-provenance-ar-c81 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى attestation. بعد ذلك يراقب التشغيل الانتقال بين attestation و build platform، بينما يتحقق الأمن من أن artifact لا يحصل على صلاحية ضمنية أو بيانات زائدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c82 من provenance ويعامل attestation كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على build platform إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ artifact بإحداث الأثر المقصود حول SLSA 1.2. إذا فشل تحقق artifact يعيد rollback الإعداد المرتبط بـ SLSA 1.2 ثم يشغل slsa-provenance-ar-c82 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من provenance. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى attestation وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود build platform و SLSA 1.2؛ فما لا يثبته السيناريو slsa-provenance-ar-c82 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c83 من attestation ويعامل build platform كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على artifact إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ SLSA 1.2 بإحداث الأثر المقصود حول provenance. تخدم هذه السلسلة المهمة العملية التالية: ربط artifact بمصدره ومدخلات البناء والمنصة التي أنتجته ثم التحقق من مستوى الضمان المطلوب. وهي تجعل attestation نقطة قرار قابلة للمراجعة بمدخل مسمى ومخرج يمكن الاحتفاظ به. لاختبار build platform تتضمن fixture slsa-provenance-ar-c83 حالة مسموحة وحالة مرفوضة، ويجب أن يقع الرفض قبل أي تغيير ينسب إلى artifact. بعد ذلك يراقب التشغيل الانتقال بين artifact و SLSA 1.2، بينما يتحقق الأمن من أن provenance لا يحصل على صلاحية ضمنية أو بيانات زائدة.
في «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» يبدأ السيناريو slsa-provenance-ar-c84 من build platform ويعامل artifact كحد صريح للثقة لا كافتراض ضمني. يفرض الضابط الأول على SLSA 1.2 إنتاج نتيجة قابلة للملاحظة قبل أن يسمح لـ provenance بإحداث الأثر المقصود حول attestation. إذا فشل تحقق provenance يعيد rollback الإعداد المرتبط بـ attestation ثم يشغل slsa-provenance-ar-c84 ويقارن الحالة الجديدة بالدليل المرجعي الصادر من build platform. هذه الدقة تجعل «SLSA provenance: كيف نثبت من أين جاء الـ artifact؟» قابلة للتدقيق لأن كل عبارة تشغيلية تشير إلى artifact وشرط ملموس ودليل، لا إلى ضمان عام غير قابل للاختبار. وتبقى الخلاصة محكومة بحدود SLSA 1.2 و attestation؛ فما لا يثبته السيناريو slsa-provenance-ar-c84 يذكر كقيد أو استنتاج، ولا يقدم على أنه حقيقة مؤكدة.
نقطة دليل: توضح Mozilla أن The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. ويُستخدم هذا المرجع لتأطير القسم «ضوابط تستمر بعد الإطلاق» من دون أن يحل محل الاختبار المحلي. [S8]قائمة تحقق تشغيلية
- الضابط المتعلق بـ SLSA 1.2 يملك مدخلا وقاعدة وسلوك رفض ودليلا.
- الضابط المتعلق بـ provenance يملك مدخلا وقاعدة وسلوك رفض ودليلا.
- الضابط المتعلق بـ attestation يملك مدخلا وقاعدة وسلوك رفض ودليلا.
- الضابط المتعلق بـ build platform يملك مدخلا وقاعدة وسلوك رفض ودليلا.
- الضابط المتعلق بـ artifact يملك مدخلا وقاعدة وسلوك رفض ودليلا.
المصادر ونقاط التحكم
- [S1] Build attestations - Docker Docs — Docker BuildKit can attach SBOM and provenance attestations so consumers can inspect image contents and build origin. source
- [S2] SLSA Build Track Basics — SLSA build levels progress from no guarantees to provenance, hosted signed builds and hardened build platforms. source
- [S3] SLSA specification v1.2 — SLSA 1.2 organizes supply-chain assurances into tracks and levels with recommended attestation formats. source
- [S4] SLSA Provenance — SLSA provenance is verifiable information linking a software artifact to how, when and from what it was produced. source
- [S5] Enforce Pod Security Standards by Configuring the Built-in Admission Controller — Pod Security Admission can enforce privileged, baseline or restricted policy levels and supports warn and audit modes for staged adoption. source
- [S6] Policies - Kubernetes — Kubernetes policy objects include NetworkPolicies for traffic controls and admission mechanisms for validating or mutating API requests. source
- [S7] Content Security Policy (CSP) - MDN — CSP can reduce script-injection risk, and Trusted Types can constrain dangerous DOM injection sinks to typed values created by approved policies. source
- [S8] Content-Security-Policy: trusted-types directive — The trusted-types CSP directive allowlists policy names and became broadly available across current browsers in 2026. source
- [S9] Content-Security-Policy: require-trusted-types-for directive — require-trusted-types-for can make DOM XSS sinks reject raw strings and accept trusted typed values instead. source
- [S10] RFC 9700: Best Current Practice for OAuth 2.0 Security — RFC 9700 updates OAuth 2.0 security practice, including exact redirect URI matching and avoiding open redirectors and insecure legacy patterns. source
التعليقات
لا توجد تعليقات منشورة بعد.
سجّل الدخول لإضافة تعليق