in-toto.

Marco abierto que atestigua criptográficamente cada paso de una cadena de suministro de software, para que los consumidores verifiquen que el artefacto se construyó y manejó exactamente como pretendía el propietario del proyecto. Pertenece a la categoría de Seguridad de aplicaciones en ciberseguridad.

Marco abierto que atestigua criptográficamente cada paso de una cadena de suministro de software, para que los consumidores verifiquen que el artefacto se construyó y manejó exactamente como pretendía el propietario del proyecto.

in-toto, alojado por la CNCF, modela la cadena de suministro como una secuencia de pasos (clonar, probar, compilar, firmar, publicar...) con entradas, salidas y actores autorizados declarados. Cada paso produce un archivo de metadatos firmados ("link") que registra materiales y productos; un "layout" general, firmado por el propietario del proyecto, define quién debe ejecutar cada paso y cómo fluyen los artefactos. Un verificador puede tomar el artefacto final y las atestaciones asociadas y comprobar que la cadena coincide con la política. Las atestaciones in-toto se usan para expresar procedencia SLSA, resultados de análisis de vulnerabilidades, evidencia de pruebas y otros predicados firmados, distribuidos a menudo vía registros OCI y firmados con Sigstore. Es una tecnología fundacional para cadenas de suministro verificables y alineadas con SLSA.

Las defensas contra in-toto combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: in-toto.