in-toto.

Открытый фреймворк, криптографически аттестующий каждый шаг цепочки поставок ПО, чтобы потребители могли проверить, что артефакт был собран и обработан в точности так, как задумал владелец проекта. Относится к категории Безопасность приложений в кибербезопасности.

Открытый фреймворк, криптографически аттестующий каждый шаг цепочки поставок ПО, чтобы потребители могли проверить, что артефакт был собран и обработан в точности так, как задумал владелец проекта.

in-toto, размещённый в CNCF, моделирует цепочку поставок как последовательность шагов (клонирование, тестирование, сборка, подпись, публикация и т. д.) с декларированными входами, выходами и уполномоченными исполнителями. Каждый шаг создаёт подписанный link-метафайл, фиксирующий материалы и продукты; общий layout, подписанный владельцем проекта, задаёт, кто выполняет каждый шаг и как артефакты перемещаются между ними. Верификатор берёт финальный артефакт и соответствующие аттестации и проверяет, что цепочка соответствует политике. Аттестации in-toto используют для представления SLSA-проvenance, результатов сканирования уязвимостей, доказательств прохождения тестов и других подписанных предикатов; их часто распространяют через OCI-реестры и подписывают Sigstore. Это базовая технология для верифицируемых цепочек поставок, согласованных с SLSA.

Защита от in-toto обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: in-toto.