in-toto

in-toto 供应链完整性

补充说明

in-toto 用签名的 layout 和 link 元数据记录软件供应链的每一步，验证谁在什么阶段做了什么。它适合构建、测试、打包、发布多阶段的完整性校验。

核心概念：layout、step、inspection、functionary、link metadata、attestation。

常用示例

安装：

pip install in-toto
in-toto --version

创建 layout：

in-toto-layout-gen layout.yaml

执行步骤并生成 link：

in-toto-run --step-name build --products app.tar.gz -- \
  make build
in-toto-run --step-name test --materials app.tar.gz -- \
  make test

验证：

in-toto-verify --layout layout.json --layout-keys owner.pub

易错点与排错

• layout 中的公钥和签名者不匹配，验证失败。
• step 的 materials/products 路径不完整，遗漏关键制品。
• 构建过程有非确定性输出，link 校验不稳定。
• 私钥权限过宽或泄露，整个供应链可信度失效。
• 只验证最终制品，不验证中间步骤。
• 时间戳和过期策略没有配置，旧 layout 仍被接受。
• 与 SLSA/Cosign 的职责重叠，先明确各自覆盖范围。