本文介绍: intoto提供了一个保护软件供应链的完整性的开源框架，通过验证链中的每个任务都是按计划执行的，仅由授权人员执行，并且构建在传输过程中没有被篡改来完成。in-toto需要项目所有者创建布局。布局列出了软件供应链的步骤序列，以及授权执行这些步骤的专职人员。当专职人员总共执行一个步骤时，收集有关所用命令和相关文件的信息，并将其存储在链接元数据文件中。因此，链接文件提供了建立连续链所需的证据，该连续链可以根据布局中定义的步骤进行验证。
1. 背景
由于近年来，全球供应链攻击事件频发，安全问题日益凸显。传统的供应链安全管理方法难以应对日益复杂的威胁环境，因此需要一个更为有效的方法来确保供应链的安全。
2. 简介
intoto提供了一个保护软件供应链的完整性的开源框架，通过验证链中的每个任务都是按计划执行的，仅由授权人员执行，并且构建在传输过程中没有被篡改来完成。
in-toto需要项目所有者创建布局。布局列出了软件供应链的步骤序列，以及授权执行这些步骤的专职人员。当专职人员总共执行一个步骤时，收集有关所用命令和相关文件的信息，并将其存储在链接元数据文件中。因此，链接文件提供了建立连续链所需的证据，该连续链可以根据布局中定义的步骤进行验证。
由项目所有者签名的布局以及由指定功能人员签名的链接作为最终产品的一部分发布，并且可以手动或通过自动工具（例如，包管理器）进行验证。
3. 布局（Layout）
布局由项目所有者创建，要求包含以下内容：
4. 构件规则
5. 优势
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
