in-toto.

一项开放框架,对软件供应链的每一步进行密码学证明,使消费者能够验证工件的构建与处理过程完全符合项目所有者的设计意图。 它属于网络安全的 应用安全 分类。

一项开放框架,对软件供应链的每一步进行密码学证明,使消费者能够验证工件的构建与处理过程完全符合项目所有者的设计意图。

in-toto 由 CNCF 托管,把软件供应链建模为一系列步骤(克隆、测试、构建、签名、发布等),并为每一步声明输入、输出与被授权的执行者。每个步骤生成一份被签名的 link 元数据,记录原料与产物;由项目所有者签署的总体 layout 规定每一步必须由谁执行,以及工件如何在步骤间流转。验证者拿到最终工件和对应证明后,可检查整条链是否符合策略。in-toto 证明常用于表达 SLSA provenance、漏洞扫描结果、测试通过证据等被签名的谓词,通常借助 OCI 注册中心分发,并由 Sigstore 签名。它是符合 SLSA 的可验证供应链的基础技术之一。

针对 in-toto 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: in-toto。