La mancanza di fiducia non richiede risultati non verificabili. La provenienza del software si è basata su assunzioni sociali, ma il Proof of Build la ancorano con prove onchain verificabili. Un'analisi più approfondita del flusso di lavoro in 7 passaggi ↓

Passo 1: Inizio Un sviluppatore impegna il codice e le modifiche vengono inviate a un repository nell'ambiente di build.

Passo 2: Costruzione dell'artifact Il pipeline CI/CD compila il binario e genera un file di provenienza SLSA, firmandolo tramite l'infrastruttura Sigstore.

Passo 3: Ingestione (input zkVM) Il programma guest zkVM riceve: ▶︎ Pacchetto di provenienza SLSA ▶︎ Radici di fiducia Sigstore fissate (Fulcio CA, chiavi pubbliche TSA) ▶︎ Timestamping (log di trasparenza TSA o Rekor) ▶︎ Politica attesa (opzionale, ad esempio, digest di build consentiti)

Passo 4: Esecuzione All'interno dell'ambiente a conoscenza zero, il programma ospite esegue passaggi per verificare le firme, la catena di certificati e i timestamp. Viene generata una prova ZK-SNARK per dimostrare che la verifica della provenienza è riuscita.

Passo 5: Invio onchain La succinta prova ZK viene inviata al contratto intelligente di Ethereum.

Passo 6: Attestazione Il contratto intelligente convalida la matematica della prova ed emette un evento verificato contenente i risultati della costruzione.

Passo 7: Verifica finale della fiducia Il verificatore a valle consuma l'evento onchain per fidarsi dell'articolo.