Elysia Tools
Mobile Navigation
Workflow Playbook
Erzeugen oder reproduzieren Sie den Hash einer bekannten Datei, vergleichen Sie ihn mit einer veröffentlichten Prüfsumme und prüfen Sie eine getrennte Ed25519-Signatur mit einem separat bestätigten öffentlichen Schlüssel.
Themen
Dieser Workflow richtet sich an Release-Verantwortliche, Sicherheitsprüfer und Betriebsteams, die eine bekannte Datei mit Digest und getrennter Signatur erhalten. Bewahren Sie eine unveränderte Kopie auf, dokumentieren Sie die Quelle und notieren Sie Algorithmus, Prüfsumme, Signaturkodierung und Schlüsselfingerabdruck vor der Prüfung.
Verwenden Sie file-hash-verifier für einen Digest über die exakten Dateibytes. Deckt die Signatur ein Manifest oder einen kanonischen Text ab, verwenden Sie hash-generator nur mit dieser Darstellung. Die Ergebnisse dürfen nur nach Maßgabe der Signaturspezifikation gleichgesetzt werden.
Mit checksum-comparator vergleichen Sie anschließend den lokalen Digest mit der Prüfsumme des Herausgebers. Eine Übereinstimmung ist Byte-Evidenz, aber kein Urheberschaftsnachweis; auch die Quelle der Prüfsumme muss vertrauenswürdig sein.
Verwenden Sie ed25519-x25519-keygen-signature-verifier im Prüfmodus mit der exakten Nachricht, der getrennten Signatur und dem öffentlichen Schlüssel. Behalten Sie Serialisierung und Kodierung bei. Ein Fehlschlag kann durch geänderte Bytes oder Formate entstehen; ein Erfolg erfordert weiterhin die Bestätigung, dass der Fingerabdruck zum erwarteten Signierer gehört.
Erfassen Sie Dateiintegrität, Signaturergebnis und Vertrauen in den öffentlichen Schlüssel als getrennte Werte. Akzeptieren Sie nur bei passendem Digest, gültiger Signatur über der vorgesehenen Nutzlast und bestätigtem Schlüssel. Unbekannte oder negative Werte bleiben zur Prüfung offen.
Workflow-Leitfaden
Verwenden Sie die unveränderte Datei und den vom Herausgeber genannten Algorithmus. Speichern Sie berechneten Digest, Dateiname, Größe und Erwartungswert, ohne das Artefakt zwischen Eingang und Berechnung zu bearbeiten.
Wenn die Signatur kanonischen Text, ein Manifest oder eine Digest-Zeichenkette abdeckt, reproduzieren Sie genau diese Darstellung und berechnen Sie ihren Digest mit der angegebenen Kodierung. Verwechseln Sie ihn nicht mit dem Datei-Byte-Digest.
Vergleichen Sie den lokalen Wert mit der unabhängig bezogenen Prüfsumme und bestätigen Sie denselben Algorithmus und dasselbe Artefakt. Dokumentieren Sie die Abweichung vollständig, wenn die Werte nicht übereinstimmen.
Übergeben Sie die exakte Nachrichtendarstellung, die getrennte Signatur und den öffentlichen Schlüssel. Notieren Sie das boolesche Ergebnis und bestätigen Sie zusätzlich den Fingerabdruck über einen vertrauenswürdigen Kanal; ein gültiger Wert mit nicht vertrauenswürdigem Schlüssel belegt keine Herkunft.
Ein übereinstimmender Hash zeigt, dass die geprüften Bytes dem Referenzwert entsprechen, nicht wer die Datei erstellt hat. Eine Signatur stützt die Identität des Signierers nur bei exakt passender Nutzlast und separat bestätigtem Schlüsselvertrauen.
Klären Sie, ob rohe Dateibytes, kanonischer Text, ein Manifest oder eine Digest-Zeichenkette signiert wurde. Prüfen Sie genau diese Darstellung; Zeilenenden, Kodierung, Leerzeichen und Serialisierung sind Teil der Nutzlast.
Verwenden Sie den vom Herausgeber genannten Algorithmus und normalisieren Sie nur die Darstellung des Werts. Vermischen Sie keine Algorithmen und machen Sie einen kopierten Wert nicht zu einem positiven Ergebnis.