Witness: Open-source framework for verifying how your software was built - Help Net Security

Witness es una herramienta de línea de comandos de código abierto que registra cómo se construye el software, firma ese registro y lo verifica contra una política establecida antes de que el producto se entregue. TestifySec desarrolló Witness y lo donó al ecosistema in-toto dentro de la Cloud Native Computing Foundation, y actualmente una comunidad abierta se encarga de su mantenimiento.

Un archivo binario compilado no indica qué máquina lo construyó ni qué código se utilizó. Witness permite que un equipo verifique qué comando produjo el archivo, qué materiales se incluyeron y si una clave de confianza firmó cada paso. Si una verificación falla, la herramienta indica el motivo, lo que permite detener automáticamente los procesos de integración continua (CI).

La herramienta funciona envolviendo el comando de construcción. Por ejemplo, puede generar un archivo JSON con 'atestaciones' (declaraciones firmadas sobre los materiales, comandos y productos resultantes). Además, permite exportar la procedencia bajo el estándar SLSA, que es un marco de trabajo para medir la integridad de la construcción de software.

El control se ejerce mediante un archivo de política JSON que define cada paso, los tipos de declaraciones requeridas y las claves públicas autorizadas para firmar. Witness se integra con plataformas como GitHub, GitLab, AWS y GCP, y puede ejecutarse en contenedores o servidores sin necesidad de privilegios elevados. La herramienta está disponible de forma gratuita en GitHub.