in-toto
Open framework voor de integriteit van de softwareketen: ondertekende "links" leggen elke pipelinestap vast (wie bouwde, uit welke commit, met welke hash van de uitvoer), en een "layout" bepaalt de verwachte volgorde en toegestane actoren.
Het project komt uit NYU Tandon (sinds 2016) en is sinds 2024 CNCF Incubating. in-toto vormt de basis van SLSA-implementaties in GitHub Actions, Tekton, Jenkins en Sigstore. Bij de release controleert de afnemer of alle tussenstappen geldige links hebben en bij de layout passen, zodat manipulatie (een achterdeur tussen build en release) opvalt. Datadog en Adobe gebruiken het in productie. Het wordt gecombineerd met Cosign voor het ondertekenen en Rekor als transparantielog. Volledig implementeren is ingewikkeld; de meeste organisaties beginnen met GitHub OIDC en keyless signing via Cosign.