Docker Content Trust

Définition

Docker Content Trust (DCT) est un mécanisme de signature et de vérification cryptographique des images Docker, activable via une simple variable d'environnement, qui s'appuie sur le projet Notary et son protocole The Update Framework (TUF) pour garantir qu'une image récupérée depuis un registre provient bien d'un éditeur identifié et n'a subi aucune altération entre sa publication et son téléchargement par le client Docker. Lorsque DCT est activé, chaque opération de publication d'image (docker push) exige une signature cryptographique par le détenteur de la clé privée associée au dépôt, tandis que chaque opération de récupération (docker pull) vérifie automatiquement cette signature auprès du serveur Notary avant d'autoriser l'exécution de l'image, refusant silencieusement toute image non signée ou dont la signature ne correspond plus au contenu, empêchant ainsi l'exécution d'une image compromise ou substituée par un attaquant ayant obtenu un accès non autorisé au registre. Le modèle de clés de Notary distingue plusieurs rôles hiérarchisés, une clé racine hors ligne rarement utilisée servant d'ancrage de confiance ultime, et des clés de dépôt utilisées pour les opérations courantes, limitant l'impact d'une compromission d'une clé de niveau inférieur. Bien que largement supplanté en pratique par Sigstore et Cosign, plus simples à opérer sans gestion de clés à long terme, Docker Content Trust reste présent dans de nombreux environnements Docker Enterprise établis.