in-toto
Framework open source per l'integrità della supply chain. Definisce i «link», attestazioni firmate su ogni passo della pipeline (chi ha compilato, da quale commit, hash dell'output). Il «layout» stabilisce la sequenza attesa e gli attori autorizzati.
Progetto della NYU Tandon dal 2016, CNCF Incubating dal 2024. Alimenta le implementazioni di SLSA: GitHub Actions, Tekton, Jenkins, Sigstore. Al rilascio il consumatore verifica che tutti i passaggi intermedi abbiano link validi e rispettino il layout, così le manomissioni (una backdoor inserita tra build e release) vengono rilevate. Usato in produzione da Datadog e Adobe. Si abbina a Cosign per la firma e a Rekor come registro di trasparenza. Complesso da implementare per intero: la maggior parte delle organizzazioni comincia con GitHub OIDC e la firma keyless di Cosign.