in-toto.

Offenes Framework, das jeden Schritt einer Software-Lieferkette kryptografisch attestiert, damit Konsumenten überprüfen können, dass das Artefakt genau wie vom Projektverantwortlichen vorgesehen erzeugt und behandelt wurde. Es gehört zur Kategorie Anwendungssicherheit der Cybersicherheit.

Offenes Framework, das jeden Schritt einer Software-Lieferkette kryptografisch attestiert, damit Konsumenten überprüfen können, dass das Artefakt genau wie vom Projektverantwortlichen vorgesehen erzeugt und behandelt wurde.

in-toto, gehostet von der CNCF, modelliert eine Lieferkette als Sequenz von Schritten (Clone, Test, Build, Signatur, Publishing usw.) mit deklarierten Eingaben, Ausgaben und autorisierten Akteuren. Jeder Schritt erzeugt eine signierte "Link"-Metadatendatei, die Materialien und Produkte protokolliert; ein vom Projektverantwortlichen signiertes Gesamt-"Layout" legt fest, wer welchen Schritt ausführen darf und wie die Artefakte zwischen Schritten fließen. Ein Prüfer nimmt das finale Artefakt mit den Attestationen und prüft, ob die Kette der Policy entspricht. in-toto-Attestationen werden für SLSA-Provenance, Vulnerability-Scan-Ergebnisse, Test-Belege und weitere signierte Prädikate genutzt, häufig über OCI-Registries verteilt und mit Sigstore signiert. Es ist eine Grundlagentechnologie verifizierbarer, SLSA-konformer Lieferketten.

Schutzmaßnahmen gegen in-toto kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: in-toto.