Notary V2

Définition

Notary V2 est un standard de signature et de vérification cryptographique d'artefacts au format OCI (Open Container Initiative) — images de conteneurs, charts Helm, modules WebAssembly — conçu pour garantir l'authenticité et l'intégrité de ces artefacts tout au long de la chaîne d'approvisionnement logicielle, depuis leur construction jusqu'à leur déploiement en production. Contrairement à son prédécesseur Docker Content Trust, reposant sur le framework The Update Framework (TUF) et nécessitant une infrastructure de gestion de clés complexe et peu adoptée en pratique, Notary V2 (également connu sous le nom du projet notation) stocke directement les signatures au sein du registre de conteneurs lui-même, en tant qu'artefact lié par référence à l'image signée, simplifiant considérablement la distribution et la vérification sans infrastructure additionnelle dédiée. Cette approche s'appuie sur les spécifications OCI Reference Types, permettant à tout registre compatible (Docker Hub, Azure Container Registry, Amazon ECR, Harbor) de stocker ces signatures sans modification structurelle. La vérification s'effectue via des plugins d'admission Kubernetes (comme Kyverno ou Connaisseur) empêchant le déploiement d'images non signées ou dont la signature ne correspond pas à une autorité de confiance définie. Notary V2 s'inscrit dans l'écosystème de sécurisation de la supply chain logicielle, aux côtés de Sigstore et Cosign, répondant aux préoccupations soulevées par des incidents de compromission comme SolarWinds.