MBTA MCP-Server

Ein MCP-Server, der mit der MBTA-API kommuniziert, um Verkehrsinformationen für den Raum Boston bereitzustellen.

Dieser MCP-Server (Machine Learning Control Protocol) ist in die API der Massachusetts Bay Transportation Authority (MBTA) integriert und bietet Echtzeit- und Fahrplaninformationen für den Raum Boston. Er ermöglicht KI-Assistenten den Zugriff auf MBTA-Daten über eine standardisierte Schnittstelle.

Merkmale

• Echtzeit-Transitvorhersagen

• Servicewarnungen und Störungen

• Strecken- und Fahrplaninformationen

• Informationen zur Barrierefreiheit

• Unterstützung bei der Reiseplanung

• Standortbasierte Sendersuche

Related MCP server: marta-mcp

Installation

Docker

docker pull ghcr.io/crdant/mbta-mcp-server:latest
docker run -e MBTA_API_KEY="your-api-key" ghcr.io/crdant/mbta-mcp-server:latest

Go-Installation

go install github.com/username/mbta-mcp-server@latest

Konfiguration

Legen Sie Ihren MBTA-API-Schlüssel in der Umgebung fest:

export MBTA_API_KEY="your-api-key"

Verwendung

Der Server implementiert das MCP-Standardprotokoll für die lokale Verwendung mit KI-Assistenten.

Ausführlichere Informationen finden Sie in der Spezifikation .

Sicherheit der Lieferkette

Signieren von Container-Images

Alle Container-Images werden mit Sigstores Cosign und schlüsselloser Signatur signiert. So können Benutzer überprüfen, ob das Container-Image von unserer GitHub Actions CI/CD-Pipeline erstellt wurde.

Sicherheitspraxis für die Signatur

Wir befolgen die Best Practices für die Signierung von Container-Images:

Wir signieren nur den Bild-Digest (Inhalts-Hash) . Dies ist der sicherste Ansatz, da der Digest eine eindeutige, unveränderliche Kennung für den spezifischen Inhalt ist. Indem wir nur den Digest signieren, vermeiden wir potenzielle Sicherheitsprobleme, die durch veränderliche Tags wie latest entstehen könnten.

Überprüfen von Container-Images

Um unsere Container-Images zu überprüfen, überprüfen Sie sie immer per Digest:

# Get the digest first (using any tag to lookup the image)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)

# Verify the image by digest
cosign verify \
  --certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  ghcr.io/crdant/mbta-mcp-server@$DIGEST

Software-Stückliste (SBOM)

Jeder Build generiert eine umfassende Software-Stückliste (SBOM), die alle im Container-Image enthaltenen Komponenten auflistet. Die SBOM ist:

1. Wird während des Build-Prozesses generiert

2. Signiert mit einem von GitHub ausgestellten Zertifikat unter Verwendung des Tools actions/attest-sbom

3. Verfügbar als GitHub Actions-Artefakt mit jedem Build

4. Als Bestätigung durch Digest an das Container-Image angehängt

So überprüfen Sie die SBOM-Bestätigung:

# Get the digest first (most reliable approach)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)

# Verify the SBOM attestation by digest
cosign verify-attestation \
  --certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  --type spdx \
  ghcr.io/crdant/mbta-mcp-server@$DIGEST

Schwachstellenscans

Wir verwenden Trivy, um unsere Container-Images auf Schwachstellen zu scannen:

1. Container-Images werden nach der Erstellung automatisch gescannt

2. Die Ergebnisse werden im SARIF-Format auf GitHub Security hochgeladen

3. Kritische und schwerwiegende Schwachstellen werden gemeldet

4. Scans konzentrieren sich auf Schwachstellen mit verfügbaren Fixes

Diese Sicherheitsmaßnahmen tragen dazu bei, dass unsere Software-Lieferkette vom Quellcode bis zur Containerbereitstellung sicher und transparent ist.

Lizenz

MIT-Lizenz