Witness: открытый инструмент для проверки происхождения сборок

TestifySec передала в CNCF проект Witness — открытый CLI, который записывает и подписывает данные о сборке ПО и сверяет их с политикой. Инструмент экспортирует SLSA provenance, поддерживает Sigstore, SPIFFE/SPIRE и хранилище Archivista, работает без повышенных привилегий.

• Witness фиксирует команду сборки, входные материалы и результат в подписанном DSSE-конверте
• Флаг -a slsa экспортирует SLSA provenance, обязательный для уровня SLSA Level 1
• Политика задаётся в JSON с правилами на Rego и подписывается отдельно
• Поддерживаются keyless-подпись Sigstore, SPIFFE/SPIRE и метки времени RFC 3161