Теги двигаются, дайджесты — нет: пиннинг и подпись для проверяемой supply chain

Дайджест — это хеш манифеста

Почему пиннинг на дайджест гарантирует неизменяемость, а пиннинг на тег — нет? Ответ в том, как дайджест производится. Дайджест не назначается, он вычисляется: sha256:<hex>, где hex это SHA-256 канонических байтов манифеста. У этого точное следствие — дайджест покрывает манифест, а манифест перечисляет дайджест config и каждый дайджест слоя, каждый из которых покрывает свои байты. Так что один дайджест манифеста транзитивно пиннит весь образ: измени любой слой — дайджест слоя меняется, контент манифеста меняется, дайджест манифеста меняется. internal/checkout@sha256:9f3c… поэтому называет одно конкретное дерево байтов, которое не может быть ничем иным. У тега нет такого свойства: internal/checkout:prod — это запись в изменяемом индексе реестра, мапящая строку prod на некий дайджест манифеста, и PUT /v2/.../manifests/prod перезаписывает этот маппинг. Реестр даже скажет тебе текущий дайджест тега — HEAD /v2/<name>/manifests/prod возвращает дайджест манифеста в заголовке ответа Docker-Content-Digest — ровно так CI должен разрешать тег в дайджест в момент релиза и больше на тег не смотреть.

# разреши только что собранный тег в неизменяемый дайджест, затем деплой ИМЕННО его
digest=$(docker buildx imagetools inspect internal/checkout:prod \
         --format '{{.Manifest.Digest}}')          # sha256:9f3c…
kubectl set image deploy/checkout app=internal/checkout@${digest}

Подпись привязывает утверждение к дайджесту

Дайджест фиксирует, какие байты ты прогоняешь, но ничего не говорит о том, кто поручился за них — любой, кто может пушить, может создать дайджест. Подпись закрывает этот разрыв. С cosign ты подписываешь дайджест образа (не тег — подпись тега бессмысленна, ведь тег двигается), производя подпись плюс опциональные claims (SBOM, provenance-аттестацию). В современной OCI-модели они хранятся обратно в том же реестре как referring-артефакты: подпись сама по себе — маленький манифест, чьё поле subject это подписываемый дайджест, находимая через referrers API (GET /v2/<name>/referrers/<digest>), что перечисляет все артефакты, ссылающиеся на данный образ. Проверка тогда: разрешить тег→дайджест, забрать referrers для этого дайджеста и проверить, что подпись доверенным ключом (или, с keyless cosign, доверенной OIDC-личностью, записанной в transparency log Rekor) покрывает ровно этот дайджест.

cosign sign   --key release.key  internal/checkout@sha256:9f3c…
cosign verify --key release.pub  internal/checkout@sha256:9f3c…   # гейт: ненулевой выход блокирует деплой

Порядок несущий: ты проверяешь против дайджеста, который собираешься прогнать, а не против тега. Если проверишь :prod, а затем задеплоишь :prod, движение тега между шагами значит, что ты проверил один образ, а прогнал другой — TOCTOU (time-of-check-to-time-of-use, дыра между моментом проверки и моментом использования) дыра. Проверка и деплой одного дайджеста её закрывают: проверенное и прогоняемое бит-в-бит идентичны по построению.

Почему это хребет supply chain

Три senior-следствия. Первое: deploy-reference должны быть дайджестами — инцидент из Hook (ручной docker push в :prod, молча раскативший регрессию без записи изменения) структурно невозможен, когда работающий reference это @sha256:…, ведь ни один push не перенацелит дайджест. Второе: signature-гейт должен проверять дайджест, который ты прогоняешь, не тег, и в идеале enforce-ить на admission (admission-контроллер Kubernetes вроде sigstore policy-controller, отвергающий неподписанные дайджесты), чтобы гарантия держалась даже когда человек обходит CI. Третье: у изменяемости есть blast radius: движение тега без audit trail (пере-пуш :latest) может раскатать непреднамеренный образ по всему флоту за минуты, что нужны подам на пересоздание, и поскольку нет события деплоя, твой инструмент корреляции изменений слеп — лесенка ошибок при пустом чейнджлоге. Вместе эти три образуют цепочку: пиннинг дайджеста фиксирует байты, подпись делает апрув аудируемым, admission-enforcement держит оба условия даже при человеческой ошибке. Убери любое звено — цепочка рвётся ровно в нём. Пиннинг плюс подпись превращают «мы доверяем тому, кто пушнул тег последним» в «мы прогоняем ровно эти подписанные байты», и это вся разница между именем, в чью верность ты надеешься, и фактом, что можешь доказать.