面向Kubernetes容器镜像认证的契约绑定去中心化身份框架

《Scientific Reports》：Contract bound verifiable credentials for replay resistant container image provenance in Kubernetes

　　

摘要

云原生供应链中的容器镜像分发面临重放攻击的威胁，攻击者会在镜像从未被授权使用的上下文中重放有效的签名或凭证。本文提出了一种面向 Kubernetes 容器镜像认证的契约绑定去中心化身份框架。每个镜像由一份可验证凭证进行描述，该凭证在签名载荷中携带两个锚点：镜像的清单摘要，以及一个契约绑定上下文。后者由链标识符与智能合约地址组成的二元组定义，二者共同标识验证者的信任域。验证性准入 Webhook 仅在以下条件全部满足时才允许镜像通过：摘要匹配、凭证声明的上下文与集群配置的上下文一致、颁发者签名可对照绑定至链上记录的去中心化标识符文档进行验证，且该凭证在链上已登记且未被吊销。一个基于 Arbitrum Sepolia、IPFS 和 Kubernetes 准入 Webhook 构建的原型系统在所有受控试验中均成功拒绝了伪造、重放和已吊销的凭证。缓存路径的平均准入延迟为 0.91 秒，全新路径为 1.78 秒；在合约事件驱动的机制下，吊销通知在 95 百分位时于 1.9 秒内到达验证者。这些保证是有条件的，而非绝对成立的。其成立的前提是颁发者密钥、已部署的合约以及验证者配置均未被攻破。该设计采用失败关闭策略，因此区块链端点或内容检索服务的中断将导致拒绝准入，而非削弱验证强度。在上述限制范围内，契约绑定凭证为 Kubernetes 提供了一个可移植且可吊销的来源层，既不需要中央证书颁发机构，也不需要针对特定镜像仓库的策略。