Accepter uniquement les versions d’un éditeur de confiance est un projet pratique de DevSecOps destiné aux personnes connaissant les opérations élémentaires du terminal et des fichiers. Vous créerez un récepteur pour le guide du festival de promenades Waymark : accepter la mise à jour demandée et signée par l’éditeur, publier les octets réellement vérifiés et préserver les fonctions utilisées par les visiteurs.
Deux Guided Labs présentent progressivement les décisions de confiance et le récepteur. Un Challenge indépendant reprend les mêmes outils pour un guide accessible, où une signature authentique peut néanmoins correspondre au mauvais produit.
Ce que vous apprendrez
À l’issue de ce cours, vous saurez :
- distinguer une somme de contrôle jointe d’une approbation obtenue par un canal indépendant et fiable ;
- vérifier une véritable signature Cosign avec la clé publique de l’éditeur approuvée à l’avance ;
- contrôler séparément le produit demandé, la version et l’empreinte de l’archive ;
- écrire un court récepteur Bash qui s’arrête en cas d’échec et transmet la copie vérifiée de l’archive au programme de publication fourni ;
- refuser les livraisons non approuvées tout en conservant les versions précédentes, les pages visiteurs et le véritable téléchargement des itinéraires.
À qui s’adresse ce cours
Ce cours s’adresse aux débutants en DevSecOps, aux développeurs et aux personnes chargées de l’exploitation qui souhaitent réaliser une petite tâche complète de livraison logicielle.
Prérequis : Savoir se déplacer dans le terminal et manipuler de petits fichiers texte. Les signatures, les empreintes et la syntaxe shell nécessaire sont expliquées avant leur utilisation ; aucune programmation Python n’est requise.
Environnement d’apprentissage : Un environnement Linux préparé avec Cosign, des colis du fournisseur, une clé et une demande de confiance fournies séparément, ainsi que le site Waymark fonctionnel. Utilisez Workspace pour les commandes et Event Guide pour les véritables pages et téléchargements.
Questions fréquentes
Faut-il un compte cloud ou ma propre clé de signature ?
Non. Le laboratoire fournit des livraisons synthétiques signées et une clé publique approuvée indépendamment. La clé privée de l’éditeur n’est pas fournie aux apprenants.
S’agit-il d’un processus complet de vérification d’identité publique Sigstore ?
Non. Ce projet utilise des signatures hors ligne avec des clés autogérées et ignore explicitement la vérification du journal public de transparence. Il ne vérifie aucune identité publique OIDC et ne revendique aucun niveau SLSA.
Qu’aurai-je réalisé à la fin ?
Un récepteur réutilisable et un guide mis à jour fonctionnel, avec une feuille d’itinéraires contenant les bons octets. Le Challenge combine les décisions déjà étudiées en autonomie, sans ajouter de mécanisme de signature.
