Artifact Attestation 소프트웨어 산출물 증명

소프트웨어 산출물 증명은 특정 파일이나 이미지에 대한 출처와 검사 결과 등의 주장을 산출물 식별값과 연결하여 검증할 수 있도록 표현한 기록입니다.

대상 산출물의 해시 같은 식별값과 주장 내용을 연결하고 서명 및 발행 주체를 확인할 수 있습니다. 무엇을 주장하는지와 누구의 주장을 신뢰할지는 별도의 정책입니다. 서명 확인만 성공했다고 모든 내용이 사실이거나 모든 배포 조건을 만족하는 것은 아닙니다.

받은 컨테이너 이미지의 해시가 출처 증명에 적힌 대상과 일치하고 그 기록이 승인한 빌드 주체에서 발행됐는지 확인하는 예입니다. 다른 이미지의 정상 서명을 확인하는 것으로는 충분하지 않습니다.

산출물 서명과의 차이

파일 서명은 서명 대상과 서명 주체를 확인하는 데 사용합니다. 산출물 증명은 출처나 검사와 같은 추가 주장 내용을 담을 수 있으며 허용할 주장 형식도 확인해야 합니다.

출처와 검사 결과

출처 증명은 생성 과정에 대한 주장이고 검사 증명은 특정 검사를 수행한 결과에 대한 주장입니다. 수행 시점과 검사 범위가 다르면 같은 보증으로 볼 수 없습니다.

배포 전에 출처와 정책 적합성을 확인하는 공급망 검증에 사용합니다. 대상 해시, 서명 신원, 신뢰 근거와 주장 내용의 조건을 함께 검사합니다.

증명을 검증하는 도구의 성공 출력만으로 취약점 부재를 선언하지 않습니다. 신뢰하지 않는 발행자의 정상 서명도 정책상 거부해야 할 수 있습니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

Sigstore: In-Toto Attestations

함께 이해할 용어: Software Provenance 소프트웨어 출처 정보, SLSA 소프트웨어 공급망 보안 프레임워크, SBOM 소프트웨어 자재 명세서, Cryptographic hash function 암호학적 해시 함수, Digital signature 디지털 서명