빌드 출처 증명

빌드 출처 증명은 특정 빌드 플랫폼이 어떤 빌드 정의와 입력을 사용해 어느 산출물을 만들었다고 진술하는 검증 가능한 정보다. 소프트웨어 공급망 증거 형식인 SLSA v1.2는 빌드 종류, 사용자가 준 값과 빌드 시스템이 정한 내부 값, 확정된 의존성, 빌드를 수행한 시스템인 빌더와 산출물 식별 정보를 나눠 담을 수 있다. 내부 값은 선택 사항이며 어떤 의존성까지 기록하는지는 증명 형식이 보장하는 수준과 빌더가 약속한 기록 범위에 따라 달라진다.

출처 증명은 추적과 재빌드에 필요한 단서를 제공하지만 그 자체가 재현 성공의 증거는 아니다. 두 산출물이 실제로 같은지는 각각의 바이트나 콘텐츠 다이제스트를 비교해야 한다. 출처 정보가 정확한지는 누가 어떤 방식으로 서명·검증했는지도 별도의 신뢰 경계다.