Add in-toto metadata to python-tuf releases

Offen

#529 erstellt am 10.11.2017 2 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 5/5
Geschätzter Aufwand: Über eine Woche
Anfängerfreundlichkeit: 25/100

Issue-Typ: Feature
Klarheit: Muss geklärt werden
Aktivitätsstatus: Veraltet
Tech-Stack: python
Bereich: release, security

Rechercherichtung

Beginne damit, die im Issue beschriebene Source-to-Release-Prozedur des Projekts abzubilden und zu untersuchen, wie in-toto-Metadaten für Python-Pakete erzeugt und verifiziert werden. Die Aufgabe ist abgeschlossen, wenn Releases Metadaten enthalten, die die Release-Schritte abdecken, sowie Signaturen und eine dokumentierte Möglichkeit, zu bestätigen, dass das Paket wie vorgesehen erzeugt wurde.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

enhancement

Description of issue or feature request:
Project releases should include in-toto metadata that can be used to validate the integrity of the release's software supply chain.

Current behavior:
Developer signatures can be provided for each release of the project, both on GitHub and PyPI. However, these signatures do not guarantee that some part of the source->release process was
not compromised.

Expected behavior:
The packaged release should include metadata and a way to verify that the project was packaged as intended. All steps of the source->release procedure should be properly signed and confirmed to be valid, as defined by the project developers.

Vorherrschende Sprache: Python
Sterne: 1.7k
Forks: 304
Ø Merge: 1 T. 2 Std.
Gemergte PRs (30 T.): 17

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus theupdateframework/python-tuf

switch to main branch? Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 48/100

theupdateframework/python-tuf#3001 · Erstellt am 25.8.2026
Request: independently verifiable source signing and reproducible-build details for v7.0.0 Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 42/100

theupdateframework/python-tuf#2979 · 1 Kommentar · Erstellt am 07.8.2026
Use Immutable Releases Offen

enhancement github_actions

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 45/100

theupdateframework/python-tuf#2920 · 1 Kommentar · 2 Reaktionen · Erstellt am 12.3.2026
Investigate/test fetcher retries Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 35/100

theupdateframework/python-tuf#2842 · 3 Kommentare · Erstellt am 12.6.2025
ngclient: Be better with concurrent instances Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 25/100

theupdateframework/python-tuf#2836 · 7 Kommentare · Erstellt am 22.5.2025

Alle Issues in theupdateframework/python-tuf