Witness: Open-source framework for verifying how your software was built

Wit­ness es una he­rra­mien­ta de có­di­go abier­to di­se­ña­da para re­gis­trar el pro­ce­so de cons­truc­ción de pro­gra­mas in­for­má­ti­cos, fir­mar dicho re­gis­tro y va­li­dar­lo me­dian­te una po­lí­ti­ca antes de que el soft­wa­re sea dis­tri­bui­do. Crea­da ori­gi­nal­men­te por Tes­tify­Sec, la he­rra­mien­ta fue do­na­da al eco­sis­te­ma in-toto den­tro de la Cloud Na­ti­ve Com­pu­ting Foun­da­tion y ac­tual­men­te cuen­ta con el man­te­ni­mien­to de una co­mu­ni­dad abier­ta.

El fun­cio­na­mien­to de la he­rra­mien­ta con­sis­te en en­vol­ver el co­man­do de com­pi­la­ción para ge­ne­rar un ar­chi­vo JSON con de­cla­ra­cio­nes fir­ma­das sobre los com­po­nen­tes uti­li­za­dos, la orden eje­cu­ta­da y los pro­duc­tos ob­te­ni­dos. Este ar­chi­vo em­plea una es­truc­tu­ra es­tán­dar para datos fir­ma­dos y per­mi­te ex­por­tar la pro­ce­den­cia re­que­ri­da para cum­plir con el nivel ini­cial de un marco de in­te­gri­dad en las com­pi­la­cio­nes.

Para con­tro­lar la dis­tri­bu­ción, se uti­li­za un ar­chi­vo de po­lí­ti­ca que es­pe­ci­fi­ca cada fase, los tipos de de­cla­ra­cio­nes obli­ga­to­rias y las cla­ves pú­bli­cas au­to­ri­za­das para fir­mar, ad­mi­tien­do tam­bién re­glas per­so­na­li­za­das. La ve­ri­fi­ca­ción de la he­rra­mien­ta puede rea­li­zar­se de forma ais­la­da y ofre­ce in­te­gra­cio­nes con di­ver­sas pla­ta­for­mas y ser­vi­cios en la nube, ade­más de so­por­tar mé­to­dos de firma sin cla­ves, se­llos de tiem­po y op­cio­nes de al­ma­ce­na­mien­to com­ple­men­ta­rias.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las he­rra­mien­tas adi­cio­na­les men­cio­na­das al final ni sobre las es­tra­te­gias de se­gu­ri­dad de GitHub.