pkg.soopen package index

brew / 順位 7469

witness を Homebrew, Nix でインストール

witness のインストール経路、実行ファイル、メタデータ、AI エージェント向けセキュリティノートを確認します。

インストールコマンドセキュリティノート

インストール

追加のインストールコマンド

macOS

Homebrew確認済み · 100%
brew install witness

local Homebrew formula metadata

Linux

Nix確認済み · 92%
nix profile install nixpkgs#witness

nixpkgs package indexes · pkgs/by-name/wi/witness/package.nix · ソース: api.github.com

概要

パッケージ概要

Automates, normalizes, and verifies software artifact provenance

コマンドとエイリアス

  • witness

履歴

プロジェクトの歴史と使われ方

Witness is an in-toto supply-chain security CLI for producing and verifying attestations about software artifacts and build steps. The project describes itself as a pluggable framework that automates, normalizes, and verifies software artifact provenance, combining attestation generation with a policy engine.

プロジェクトの歴史

Witness originated at TestifySec and was later donated to the CNCF in-toto ecosystem. TestifySec's open-source statement dates the formal donation of Witness and Archivista to January 2024, after ratification by the in-toto steering committee, giving the project community governance under the same ecosystem as the in-toto specification.

採用の歴史

Witness sits inside the broader in-toto adoption story. CNCF records in-toto as accepted on August 14, 2019, moved to Incubating on March 10, 2022, and Graduated on February 10, 2025. That matters for Witness because it implements the in-toto specification in a CLI intended for real pipelines, and its README points users to CNCF Slack channels and open community meetings rather than a vendor-only support path.

The project is also tied to adjacent supply-chain standards and systems. The Witness README lists support for in-toto enhancement work, OPA Rego policy, Sigstore and SPIFFE/SPIRE signing paths, timestamp authorities, and Archivista storage, reflecting the post-SolarWinds era movement toward verifiable build provenance, signed attestations, and policy-driven release gates.

使われ方

A typical Witness workflow runs a command under `witness run` during a build or release step, collects attestations from configured attestors, signs them, and later verifies the resulting collection against a signed policy. The goal is to answer who performed a supply-chain step, what materials and products were involved, and whether the step satisfied policy before an artifact is trusted or deployed.

パッケージ好きにとっての重要性

For package and release engineers, Witness is significant because it turns provenance from a document attached at the end of a release into machine-verifiable metadata emitted by each lifecycle step. It is part of the same tooling vocabulary as SLSA provenance, Sigstore signing, OPA/Rego policy, and SBOM/attestation storage, making it a package-nerd tool for proving how an artifact came to exist.

タイムライン

  • 2021-12-03: the current GitHub repository was created.
  • 2024-01: TestifySec donated Witness and Archivista as in-toto subprojects.
  • 2025-02-10: in-toto reached CNCF Graduated maturity, strengthening the ecosystem context around Witness.

セキュリティ状態

リスクレベル: グリーン

narrow executable package without higher-risk signals.

リスク分類器

リスク グリーン · 信頼度 低 · appliance

理由

  • narrow executable package without higher-risk signals

信号

  • metadata:no-higher-risk-signals

インストール挙動

  • Homebrew bottle メタデータは記録されていません。

推奨レビュー

エージェントに無人実行させる前に、このツールが平文の認証情報を読むか、リモート状態を書き込むか、成果物を公開するか、プラグインを起動するかを確認してください。

実行可能ファイル

インストールされる実行可能ファイル

コマンド種類公開範囲メモ
witness実行可能ファイルインデックス済み実行可能ファイルローカル実行可能ファイルインデックスから検出されました。

鮮度

バージョンと鮮度

これらの信号は、ページ生成時期、パッケージマネージャの活動、上流リリース比較を分けて示します。バージョン遅れは、証拠 URL と比較可能なバージョンがある場合だけ警告されます。

ページ生成日2026-08-03
マネージャ版0.12.0
マネージャ更新日2026-08-02
ローカルデータ不明
上流利用不可
検出された最新未検出
  • OK鮮度警告は生成されていません。

インストールメタデータ

パッケージメタデータ

パッケージキーbrew:witness
バージョン0.12.0
パッケージマネージャHomebrew
ホームページhttps://witness.dev
リポジトリhttps://github.com/in-toto/witness
最終更新2026-08-02T12:51:38+01:00
Pulseupdated
Bottle未記録
サービス宣言なし

ソースデータベース一致

他のパッケージマネージャ記録

一致は外部パッケージマネージャインデックスから取得され、ローカルの Automic Vault パッケージリンクとは分けて表示されます。

Nix95%

witness

nix profile install nixpkgs#witness
  • normalized package name match
  • 一致条件: Witness
nixpkgs package indexes · api.github.com · nixpkgs package indexes: pkgs/by-name/wi/witness/package.nix from https://api.github.com/repos/NixOS/nixpkgs/git/trees/master?recursive=1

パッケージグラフ

リンクは、ローカルのパッケージ関係グラフ、補足データ、依存関係、エコシステム一致、パッケージハブ所属から来ています。

エージェント安全ガイド

ソース経路

リポジトリデータから生成

このページは scripts/generate-pkg-sqlite.py が生成した非公開のパッケージ SQLite アーティファクトから av-web によって提供されます。

使用ソース

  • Geiger risk classifier
  • cross-ecosystem install command graph
  • curated package history
  • external package-manager database matches
  • pkg.so package database
  • pkgdb category and tag curation