in-toto
サプライチェーンの完全性を守るオープンなフレームワーク。パイプラインの各ステップを署名付きで証明する。
「リンク」は、各工程の署名付き証明書で、誰が、どのコミットから、どんなハッシュの成果物をビルドしたかを記録する。「レイアウト」は、期待される工程の順序と、許可された実行者を定める。
2016年からニューヨーク大学タンドン校のプロジェクトとして始まり、2024年にCNCFのIncubatingに入った。GitHub Actions、Tekton、Jenkins、SigstoreといったSLSAの実装を支える。リリース時に利用者がすべての中間ステップのリンクが有効でレイアウトと一致することを検証するので、ビルドとリリースの間に挿入されたバックドアのような改ざんが見つかる。DatadogやAdobeが本番で利用している。署名にはCosign、透明性ログにはRekorを組み合わせる。完全な実装は複雑で、多くの組織はGitHub OIDCとCosignのキーレス署名から始める。