L'attestazione del workload è il processo di dimostrare quale software è effettivamente in esecuzione prima che un sistema gli assegni fiducia o identità. In Kubernetes e piattaforme simili, un attestatore può controllare segnali come lo stato del nodo, i dettagli del processo o le informazioni del cgroup Linux per decidere se un workload è autentico e autorizzato a ricevere credenziali.
Questo è importante perché i moderni sistemi di identità, inclusi SPIFFE e SPIRE, si affidano all'attestazione per impedire agli impostori di ottenere identità valide del workload. Se un attaccante ottiene i privilegi di root su un nodo, può alterare le prove usate per l'attestazione e far sembrare legittimo un processo malevolo. I difensori riducono questo rischio rafforzando i nodi, limitando l'accesso con privilegi e proteggendo l'integrità degli input di attestazione e del percorso di esecuzione fidato.