Elysia Tools
Navegación
Workflow Playbook
Genera una clave de firma de prueba, revisa los metadatos del paquete AGEX, valida la firma con una clave pública confiable y detén la entrega si falta evidencia.
Temas
Este flujo sirve cuando un paquete AGEX debe superar un control de firma antes de pasar a otro operador, entorno o socio. Está pensado para revisores de releases, personal de seguridad y operaciones que necesitan responder de forma repetible qué expone el paquete, qué clave lo firmó y si la evidencia permite continuar.
La revisión se limita a un artefacto; no promete que toda la cadena de suministro sea segura. Prepara el bundle y su línea base, acuerda la versión AGEX y los campos visibles aceptables, y localiza el registro de release que contiene la huella de la clave pública confiable.
Usa agex-keypair-generator solo para material de prueba desechable. Protege la clave privada inmediatamente y no la pongas en el paquete, en los logs ni en la nota de entrega. La clave pública generada puede servir para un fixture controlado, pero no se convierte automáticamente en ancla de confianza de producción.
Con agex-bundle-inspector captura versión, nombre, tamaño, tipo MIME, información del firmante y presencia de firma sin descifrar el contenido. Compara los valores con la línea base: una firma válida no elimina la necesidad de investigar metadatos inesperados.
Ejecuta agex-signature-verifier con la clave pública cuya procedencia se confirmó mediante un registro de release independiente o un canal controlado por el responsable. Evalúa el resultado y la huella juntos. Si la firma falta, no es válida, no coincide o usa una clave desconocida, detén la entrega, conserva la evidencia y solicita aclaración o un bundle nuevo.
Registra los dos informes, la fuente de confianza y la decisión final. Para crear y entregar un paquete completo, consulta el workflow existente agex-secure-file-sharing; esta revisión no transporta archivos, no prueba identidades ni ofrece una garantía absoluta sobre la cadena de suministro.
Guía de flujo de trabajo
Crea un par Ed25519 para el fixture controlado, identifícalo con el contexto de prueba, anota la huella pública y guarda la parte privada antes de manipular el paquete o el informe.
Inspecciona el paquete AGEX sin descifrarlo. Contrasta versión, campos visibles, identificador del firmante y presencia de firma con el registro esperado y conserva el resultado.
Entrega al verificador el bundle y la clave pública obtenida de la fuente independiente. Revisa tanto el resultado criptográfico como la huella; no sustituyas la clave esperada por la de prueba salvo que el fixture haya sido firmado deliberadamente con ella.
Archiva los informes de inspección y firma junto con la línea base y la fuente de confianza. Entrega solo cuando la firma sea válida y las diferencias estén resueltas; en otro caso, aísla el paquete y documenta el bloqueo.
Usa el generador para un recorrido de prueba desechable y guarda la huella pública. Para una entrega real, la clave debe proceder del responsable de release; una clave recién creada no demuestra por sí misma el origen de producción.
Antes de validar la firma, acuerda la versión AGEX, el nombre visible, el tamaño, el tipo MIME, el identificador del firmante y la presencia de firma. Un dato inesperado debe investigarse, no aceptarse por omisión.
Una firma ausente, inválida, asociada a otra clave o con huella desconocida bloquea la entrega. Conserva el bundle y los informes, confirma bytes y procedencia fuera de la herramienta y solicita un artefacto corregido.