Golang 中使用 in-toto 保护软件供应链完整性

in-toto 是一个保护软件供应链完整性的框架，它通过记录和验证软件构建过程中的每个步骤来确保供应链安全。下面我将介绍如何在 Golang 中使用 in-toto。

基本概念

in-toto 通过以下机制工作：

1. 布局文件(Layout)：定义供应链步骤和授权
2. 链接文件(Link)：记录每个步骤的实际执行情况
3. 最终产品验证：验证所有步骤是否按预期执行

安装 in-toto Golang 库

go get github.com/in-toto/in-toto-golang/in_toto

基本使用示例

1. 创建布局文件

package main

import (
	"encoding/json"
	"fmt"
	"github.com/in-toto/in-toto-golang/in_toto"
)

func createLayout() {
	// 创建布局
	layout := in_toto.Layout{
		Expires: "2024-12-31T00:00:00Z",
		Keys: map[string]in_toto.Key{
			"alice-key": {
				KeyID: "alice-key",
				KeyVal: in_toto.KeyVal{
					Public: "-----BEGIN PUBLIC KEY-----\n...\n-----END PUBLIC KEY-----",
				},
			},
		},
		Steps: []in_toto.Step{
			{
				Name: "clone",
				PubKeys: []string{
					"alice-key",
				},
				ExpectedCommand: []string{"git", "clone"},
				Threshold:       1,
			},
			{
				Name: "build",
				PubKeys: []string{
					"alice-key",
				},
				ExpectedCommand: []string{"go", "build"},
				Threshold:       1,
			},
		},
	}

	// 序列化为JSON
	layoutJSON, err := json.MarshalIndent(layout, "", "  ")
	if err != nil {
		panic(err)
	}

	fmt.Println(string(layoutJSON))
}

2. 创建链接元数据

func createLinkMetadata() {
	// 创建一个步骤的链接元数据
	link := in_toto.Link{
		Name: "build",
		Command: []string{"go", "build", "-o", "app", "main.go"},
		Materials: map[string]interface{}{
			"main.go": map[string]string{
				"sha256": "a1b2c3...",
			},
		},
		Products: map[string]interface{}{
			"app": map[string]string{
				"sha256": "d4e5f6...",
			},
		},
		ByProducts: map[string]interface{}{
			"return-value": 0,
			"stderr":       "",
			"stdout":       "Building...",
		},
	}

	// 签名链接
	signer, err := in_toto.NewSigner("private-key.pem")
	if err != nil {
		panic(err)
	}

	signedLink, err := in_toto.SignLink(link, signer)
	if err != nil {
		panic(err)
	}

	// 保存签名后的链接
	err = signedLink.Dump("build.link")
	if err != nil {
		panic(err)
	}
}

3. 验证最终产品

func verifyFinalProduct() {
	// 加载布局
	layout, err := in_toto.LoadLayout("root.layout")
	if err != nil {
		panic(err)
	}

	// 加载所有链接文件
	linkFiles := []string{"clone.link", "build.link"}
	links := make(map[string]in_toto.Link)

	for _, path := range linkFiles {
		link, err := in_toto.LoadLink(path)
		if err != nil {
			panic(err)
		}
		links[link.Name] = *link
	}

	// 执行验证
	products := map[string]interface{}{
		"app": map[string]string{
			"sha256": "d4e5f6...",
		},
	}

	err = in_toto.InTotoVerify(layout, links, "", products)
	if err != nil {
		fmt.Printf("验证失败: %v\n", err)
	} else {
		fmt.Println("验证成功! 所有步骤都按预期执行")
	}
}

高级用法

自定义策略验证

func customPolicyValidation(layout in_toto.Layout, links map[string]in_toto.Link) error {
	// 检查所有步骤是否都执行了
	for _, step := range layout.Steps {
		if _, ok := links[step.Name]; !ok {
			return fmt.Errorf("步骤 %s 未执行", step.Name)
		}
	}

	// 检查命令是否符合预期
	for _, step := range layout.Steps {
		link := links[step.Name]
		if !compareCommands(step.ExpectedCommand, link.Command) {
			return fmt.Errorf("步骤 %s 执行的命令与预期不符", step.Name)
		}
	}

	return nil
}

func compareCommands(expected, actual []string) bool {
	if len(expected) != len(actual) {
		return false
	}
	for i := range expected {
		if expected[i] != actual[i] {
			return false
		}
	}
	return true
}

最佳实践

1. 密钥管理：妥善保管私钥，使用硬件安全模块(HSM)存储高敏感度密钥
2. 布局设计：明确定义供应链中的每个关键步骤
3. 定期轮换：定期更新布局文件和签名密钥
4. 详细记录：在链接文件中尽可能详细地记录执行环境信息
5. 自动化集成：将 in-toto 集成到 CI/CD 流水线中

总结

in-toto 为 Golang 项目提供了强大的软件供应链保护机制。通过记录构建过程中的每个步骤并验证其完整性，可以有效防止供应链攻击。上面的示例展示了基本用法，实际项目中可能需要根据具体需求进行调整和扩展。

要深入了解 in-toto，建议参考官方文档和示例项目，它们提供了更完整的实现和高级功能。