In-toto 是一个开源项目，旨在帮助组织确保其软件供应链的完整性和可追溯性。它提供了一套工具和标准，用于验证软件组件在整个生命周期中的来源、状态和配置。通过使用 In-toto，开发者和运维人员可以更好地了解他们的软件依赖关系，并及时发现和解决潜在的安全风险。该框架支持多种编程语言和操作系统，并且与主流的 CI/CD 工具集成良好。In-toto 的核心在于使用可验证的声明（Verifiable Claims），这些声明包含了关于软件组件的信息，例如其来源、版本号、构建时间等。通过对这些声明进行验证，可以确保软件供应链的完整性，并提高软件的安全性。
📎 原文：In-toto: A framework to secure the integrity of software supply chains | 来源：Hacker News