TUF通过将信任拆分为多个角色来保障软件更新安全

包管理器早已会校验签名，但研究发现，流行的更新系统仍存在深层的共同失效模式：过期的元数据、恶意镜像、回滚、无尽数据以及单密钥泄露都可能误导客户端。

TUF的设计选择是不再把更新信任视为单一签名。其规范将职责拆分到多个角色，使用带版本和过期时间的元数据，并通过委托和阈值机制将在线密钥泄露造成的损害降到最低。

TUF的工作始于2009年末，借鉴了包管理器攻击研究和Tor的Thandy更新器。CNCF于2017年10月24日接纳TUF，并于2019年12月18日将其晋升为毕业项目。

不要让一个密钥意味着一切

分离的角色限制了攻击者用一个被盗密钥所能做的事情。

时间戳和快照元数据使过期或不一致的仓库视图可被检测到。

该框架在不定义通用包格式的情况下保障了更新安全。

委托机制让大型仓库能够分发签名权限，而无需交出信任根。

如果安全更新标准围绕各包管理器标准化信任元数据，就能在保留其工作流程的同时发挥作用。

TUF成为CNCF毕业项目，并成为更新安全的参考模型。其基于角色的元数据模式影响了后来的供应链系统，因为它在不替换每个包管理器的情况下解决了更新问题。