什么是 in-toto 以及它如何保护软件供应链？
软件 供应链攻击近年来，3CX、Codecov 和 Solarwinds 等事件凸显了传统开发流程的脆弱性。为此，开源社区开发了 因托托，一个确保软件交付每个步骤完整性的框架。In-toto 创建了一个 整个软件开发生命周期的可验证记录 从初始编码到最终部署，确保每个步骤均由授权实体按正确顺序执行。通过将加密签名和元数据（“证明”）附加到构建过程的每个阶段，in-toto 几乎不可能让攻击者悄悄地进行恶意更改。这种全面的方法 防止篡改，捕获未经授权的修改，并证明来源 软件中每个组件的安全性，大大降低了代价高昂的违规风险。
in-toto 的主要优势包括：
- 端到端完整性： CI/CD 管道中的每个操作都经过签名和记录，因此您可以验证 仅由 每一步都执行可信流程。如果链中的任何内容被更改或出现问题，in-toto 都会检测到。
- 防篡改： In-toto 的证明确保如果构建工件或组件被篡改，您将拥有不匹配的加密证据，从而在供应链攻击到达用户之前阻止它们。
- 合规性和透明度： 通过记录谁做了什么（以及何时），in-toto 加强了对不断发展的网络安全标准和法规的合规性。它与软件物料清单 (SBOM) 等举措以及 SLSA（软件工件供应链等级）等要求更高供应链透明度的框架相一致。
- 信任和可靠性： 通过 in-toto，组织可以 证明诚信 向客户和审计师提供软件。每次发布都附带证据，证明其以安全、可信的方式构建，从而增强了人们对其可靠性的信心。
在实践中，采用 in-toto 意味着在整个开发过程中插入安全检查。例如，构建步骤会生成一个签名的“链接”文件，用于证明该步骤的输入（源代码、依赖项）和输出（镜像、容器、二进制文件）。下游步骤会在继续之前验证这些链接。这样，如果攻击者试图注入恶意代码或使用未经批准的组件，缺失或无效的签名可能会触发管道停止。结果就是 软件监管链 – 就像在食谱中追踪成分一样 – 确保没有任何未知或未经授权的成分被融入到您的最终产品中。
全面：从学术项目到前沿框架
四月23，2025， in-toto 达到了一个重要的里程碑： 这些因素包括原料奶的可用性以及达到必要粉末质量水平所需的工艺。 云原生计算基金会 (CNCF) 宣布 in-toto 毕业 达到开源项目的最高成熟度级别。CNCF 毕业资格仅授予那些已证明其稳定性、采用率和社区支持的项目。In-toto 的旅程始于纽约大学坦登工程学院的一个研究项目，如今已 “发展成为行业标准” 供应链安全。据参与创建 intoto 的纽约大学教授 Justin Cappos 称，这一成就 验证了 in-toto 的开创性方法 软件安全并展示其在对抗现代威胁中的现实影响。
那么，是什么让 in-toto 成为如今如此先进、成熟的框架呢？首先，它拥有强大的后盾和 广泛采用In-toto 已被 SolarWinds 等公司投入生产，并已集成到 OpenVEX 和谷歌 SLSA 框架等行业标准中。事实上，In-toto 的规范已于 1.0 年发布 2023 版本，这反映了社区对其稳定性的共识。该框架还得到了主要研究机构（包括美国国家科学基金会 (NSF) 和美国国防部高级研究计划局 (DARPA)）的支持，确保了持续创新。
随着软件供应链攻击的增多，in-toto 成熟的时机非常理想。 “随着软件供应链威胁规模和复杂性的不断增长，in-toto 使组织能够自信地验证其开发工作流程，降低风险，实现合规性，并最终加速安全创新。” CNCF 首席技术官 Chris Aniszczyk 表示：“In-toto 的毕业标志着该框架已经过实战检验，并已准备好迎接黄金时代的到来。对于 CISO 和 DevSecOps 领导者来说，这意味着现在有了 经过社区审查的成熟解决方案 在开发流程中实施零信任原则。下一个问题是：如何在你的组织中全面采用零信任原则 高效且无摩擦?
使用 ScribeHub 和 Valint 实现无摩擦 In-Toto
虽然 in-toto 提供了供应链安全的蓝图，但从头开始实施可能非常复杂。组织需要对其 CI/CD 管道进行检测，以便在每个步骤生成和验证加密证明、管理加密密钥或使用 Sigstore、存储所有元数据、定义策略规则并集成故障门——所有这些都不会降低开发人员的速度。 实现无缝衔接的最佳解决方案 就是使用为这项工作而构建的平台。 Scribe Security 的“ScribeHub”平台及其 Valint 工具提供了一种无缝的方式，将整体原则嵌入到您的 SDLC 中.
ScribeHub 是一个全面的软件供应链安全平台，可自动执行整个软件工厂（从开发到部署）的完整性和合规性检查。它采用安全设计、零信任方法： 自动化机器可读证明 并申请 “护栏即代码”门 在整个流程中。本质上，ScribeHub 与您的开发工具和云环境集成，持续记录每次构建过程中发生的情况，并 无需人工干预即可实施安全策略。重要的是，Scribe 的方法旨在 尽量减少与开发团队的摩擦通过将安全性融入到流程中（而不是为开发人员添加带外审查或额外步骤），ScribeHub 确保 安全是持续且透明的。开发人员可以保持快速敏捷的步伐，而 Scribe 则在幕后工作以捕捉异常并确保每个版本都是值得信赖的。
其核心在于 瓦林特 – Scribe Security 的验证完整性工具。 Valint 是一个强大的 CLI 和策略引擎，为组织提供了一种实施安全策略的方法 “使用签名和验证数据的简单概念。” 事实上， 瓦林特 代表 验证+完整性，它可以生成并检查证明软件完整性所需的加密证据。它可以为各种软件构件生成和验证证明（数字证据）：源代码目录、单个文件、容器镜像，甚至整个 Git 存储库。您可以将 Valint 作为独立的 CLI 运行在您的 CI 管道中，也可以将其用作集成 ScribeHub 服务的一部分。无论哪种方式，它都以便捷的形式将 in-toto 的核心理念——签名可验证的供应链元数据——付诸实践。
在引擎盖下 Valint 利用现代供应链安全技术的优势. Valint 的最新版本基于以下框架 SLSA 来源证明, OPA 用于政策执行, Sigstore 用于无密钥签名并使用 OCI 注册中心来存储证明。换句话说，Scribe 已经构建了一系列开放标准，以确保您的管道中的证明和检查是稳健且可互操作的。例如，Scribe 的平台可以自动执行 使用 intoto 证明进行持续代码签名和来源跟踪 – 所有这些都有助于 阻止篡改攻击 在它们影响您的软件之前。
那么，这在实际的 CI/CD 流程中是如何运作的呢？ScribeHub 可以直接与您的构建系统（无论是 Jenkins、GitHub Actions、GitLab 等）集成，从而 在每个阶段获取签名的、机器可验证的证明 开发过程。从开发人员提交代码的那一刻起，Scribe 的 Valint 工具就可以记录该提交的签名声明。随着代码经历构建、测试和部署阶段，每个步骤都会生成自己的证明（例如， “通过这些输入构建完成，此时通过此过程生成此工件，并由密钥 X 签名”)。这些证明以防篡改的方式存储（例如 OCI 工件注册表或 Scribe 的证据存储），以供日后审计。更重要的是，它们 立即验证 违反您的安全策略。ScribeHub 允许安全团队定义策略（以代码形式），描述管道的预期条件——例如， “所有工件都必须由我们的构建服务签名，” or “如果容器包含已知可利用的严重漏洞（KEV），则不得部署。” 这些政策已执行 实时. 每次生成证明或 SBOM 时， Valint 进行验证，ScribeHub 的策略引擎（由 OPA 提供支持）检查 为合规。
如果一切顺利，管道将顺利运行。如果发现违规行为，ScribeHub 可以 通过停止管道或标记问题来“控制”发布 以供审核。例如，如果缺少预期的签名或构建证明，或者工件的哈希函数与应有的哈希函数不匹配，Scribe 会发现它 在提升该构建之前这些自动化护栏充当了质量门：缺失或不正确的证明将被视为检查失败，因此风险构建 从未投入生产。实际上，这可能意味着构建作业失败并显示明确的错误消息，或者自动为安全团队创建 JIRA 工单，具体取决于您如何配置响应。这种方法可确保 软件供应链政策由代码自动执行，而不是事后人工审查正如 Scribe 的首席执行官所说， “当人们每天交付 10 个版本时，你不能指望他们记住政策……规则需要融入到流程中，并由管道强制执行”.
通过整合 in-toto 的证明和自动策略检查，ScribeHub 本质上提供了一个 您的 SDLC 的免疫系统。它验证每个组件的完整性和来源，并且 阻止任何可能导致软件供应链受损的违规行为例如，如果恶意软件以某种方式进入依赖项，或者开发人员的凭据被劫持以签署恶意构建，异常证据（或缺乏预期证据）将触发 Scribe 的控制，停止发布并向您的团队发出警报。这让首席信息安全官、产品安全主管和 DevSecOps 从业者安心， 仅部署经过审查的安全代码无需亲自检查每一项变更。得益于自动化和集成，所有这一切都将最大程度地降低对开发速度的影响—— 安全性是嵌入式的，但不是阻碍性的.
准备好见证实际产品安全的实际效果了吗？
In-toto 的毕业和 ScribeHub 等工具的出现表明 真正的产品安全 ——能够提供端到端供应链完整性的解决方案——如今已不再是遥不可及的理想，而是一个可以实现的目标。具有前瞻性的首席信息安全官、产品安全主管和 DevSecOps 从业者已经在利用这些解决方案来保护他们的组织并遵守新的法规。如果您希望在不增加开发人员摩擦的情况下增强软件工厂的安全性， 我们邀请您联系 Scribe Security 进行演示. 亲自了解通过 ScribeHub 和 Valint 实施的 in-toto 原则如何将您的 SDLC 转变为防篡改、透明且合规的过程。 联系我们，探索现场演示 迈向真正安全可信的软件供应链。您的开发人员可以全速创新，而您则可以安心无忧，因为每一次构建都受到尖端供应链安全技术的保护。我们很乐意 向您展示它是如何工作的!
此内容由领先的端到端软件供应链安全解决方案提供商 Scribe Security 为您提供 - 为整个软件供应链中的代码工件以及代码开发和交付流程提供最先进的安全性。 了解更多
相关文章
