Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
in-toto
О документе
Что это in-toto — открытая спецификация и проект CNCF, задающие модель проверяемых утверждений (attestations) о шагах цепочки поставки ПО. Если SLSA говорит «какого уровня доверия требуется достичь», то in-toto даёт формат и механизм, которым это доверие выражается: подписанные свидетельства о том, кто, что и над чем сделал на каждом шаге.
Ключевые понятия: layout (заранее описанная политика — какие шаги и в каком порядке должны произойти, кем подписаны), link/attestation (свидетельство о фактическом выполнении шага) и функциональная роль подписанта. На этом формате строятся provenance-аттестации SLSA и предикаты вроде SBOM-attestation.
Ключевые требования
- Декларированная политика (layout). До сборки задаётся ожидаемая последовательность шагов цепочки и допустимые подписанты для каждого.
- Свидетельство на каждый шаг (attestation). Фактическое выполнение шага фиксируется подписанным утверждением с указанием входов и выходов (materials/products).
- Подпись и роль. Каждое утверждение подписано ключом, привязанным к функциональной роли, а не к произвольному лицу.
- Связность цепочки. Выход одного шага является заявленным входом следующего; разрыв связности — сигнал подмены.
- Верифицируемость на финале. Перед допуском артефакта политика (layout) проверяется против собранных attestations — соответствие подтверждается автоматически.
- Расширяемость предикатами. Один формат конверта несёт разные типы свидетельств (provenance, SBOM, тест-результаты) через предикаты.
Что считать evidence
Артефакты соответствия - Подписанные in-toto attestations по шагам сборки (provenance-предикат) на релизный артефакт. - Файл layout (политика цепочки) и записи его успешной верификации перед релизом. - Привязка ключей подписи к ролям и журнал ротации ключей. - SBOM, упакованный как in-toto attestation, со связью materials→products. - Запись проверки связности «исходник → сборка → артефакт» перед допуском в репозиторий.
Маппинг на практики и шаблоны
- Генерация и проверка attestations: П15. SLSA и in-toto provenance.
- Подпись свидетельств: П14. Подпись SBOM через Sigstore.
- Допуск и хранение: Требования к controlled repository, Схема хранения исходных артефактов.
- Контекст модуля: М08. Защита цепочки поставки и OSA. Уровневая надстройка: SLSA.
Ограничение
Это учебная карточка Карточка пересказывает модель attestations под курс и не воспроизводит официальную спецификацию. Точную структуру layout, конверта и предикатов для аудита сверять с актуальной редакцией in-toto Attestation Framework и регламентами Организации.