여러 단계로 이어지는 생산 과정
소프트웨어는 코드를 작성한 뒤 검사하고 빌드 및 포장과 배포를 거쳐 이용자에게 전달된다. 각 단계는 자료를 변환하거나 상태를 확인한다. in-toto는 이 연결 과정에서 실제로 무엇이 수행되었는지 드러내는 데 초점을 맞춘다.
예정한 단계와 실제 수행의 비교
소프트웨어 제작자가 정한 절차를 바탕으로 이용자는 공급망의 특정 단계가 의도된 작업인지 확인할 수 있다. 그 작업을 허용된 주체가 수행했는지도 검증 대상이다. 단계의 존재뿐 아니라 수행자와 순서를 함께 다루는 방식이다.
배포 직전 검사보다 넓은 범위
최종 배포물을 인증하더라도 앞선 단계에서 이미 자료가 변조되었을 가능성은 남는다. in-toto는 이 때문에 개발에서 설치까지 이어지는 과정의 무결성을 다룬다. 공개 메타데이터 규격과 이를 활용하는 라이브러리 및 도구를 제공한다.