Definition. Ein Herkunftsnachweis, englisch Provenance, beschreibt laut SLSA-Spezifikation überprüfbar, wo, wann und wie ein Software-Artefakt entstanden ist: welche Build-Plattform es gebaut hat, aus welchen Eingaben und mit welchen Parametern. Technisch ist er eine Attestation im in-toto-Format, die sich auf das Artefakt bezieht und signiert ist.

Warum relevant. Eine Signatur belegt, wer gebaut hat. Ob das Artefakt aus der Quelle stammt, der man vertraut, zeigt erst der Vergleich der Angaben im Nachweis mit erwarteten Werten, etwa dem richtigen Quell-Repository. Die SLSA-Spezifikation verlangt deshalb ausdrücklich, dass Prüfende wissen, wie ein guter Nachweis aussieht.

Beispiel. Beim Angriff auf LiteLLM 1.107.0 im Oktober 2026 war das Container-Image regulär signiert. Seine Provenance nannte als Quelle aber den Fork Berri-AI/litellm statt BerriAI/litellm. Eine Prüfung des Quell-Repositorys hätte das Image abgelehnt.

Verwandt. SLSA, SBOM, Supply-Chain-Angriff