Elysia Tools
Navegación
Workflow Playbook
Calcula o reproduce el hash de un archivo conocido, compáralo con un checksum publicado y verifica una firma Ed25519 separada con una clave pública cuya confianza se confirmó por otra vía.
Temas
Este flujo sirve a responsables de releases, revisores de seguridad y equipos de operaciones que reciben un archivo conocido con un digest y una firma separada. Conserva una copia intacta, registra el origen y anota el algoritmo, checksum, codificación de firma y huella de la clave pública antes de ejecutar las comprobaciones.
Usa file-hash-verifier para calcular un digest sobre los bytes exactos del archivo. Si la firma cubre un manifiesto o texto canónico, usa hash-generator solamente con esa representación. No combines ambos resultados salvo que la especificación de firma lo indique.
Después usa checksum-comparator para comparar el digest local con el checksum del publicador. Una coincidencia prueba acuerdo a nivel de bytes, no autoría; también hay que confiar en la fuente que entregó el checksum.
Usa ed25519-x25519-keygen-signature-verifier en modo de verificación con el mensaje exacto, la firma separada y la clave pública. Conserva la serialización y codificación originales. Un fallo puede deberse a bytes o formato modificados; un éxito aún exige confirmar que la huella de la clave corresponde al firmante esperado.
Registra por separado la integridad del archivo, la validez de la firma y la confianza de la clave pública. Acepta solo cuando coincida el digest esperado, la firma valide el contenido previsto y la clave haya sido confirmada por el canal autorizado. Cualquier campo desconocido o fallido debe quedar pendiente de revisión.
Guía de flujo de trabajo
Usa el archivo sin modificar y el algoritmo indicado por el publicador. Guarda el digest calculado, el nombre, el tamaño y el valor esperado sin editar el artefacto entre la recepción y el cálculo.
Si la firma cubre texto canónico, un manifiesto o una cadena de digest, reproduce esa representación exacta y calcula su digest con la codificación declarada. No supongas que equivale al digest de los bytes del archivo.
Compara el valor local con el checksum obtenido de forma independiente y confirma que ambos usan el mismo algoritmo y se refieren al mismo artefacto. Conserva los detalles si difieren.
Introduce la representación exacta del mensaje, la firma separada y la clave pública. Registra el resultado booleano y confirma aparte que la huella de la clave procede de un canal confiable; una firma válida con una clave no confiable no prueba procedencia.
Un hash coincidente indica que los bytes comprobados corresponden con un digest de referencia, pero no quién produjo el archivo. La firma solo aporta evidencia del firmante cuando el contenido exacto y la confianza en la clave pública son correctos.
Determina si la firma cubre bytes del archivo, texto canónico, un manifiesto o una cadena de digest. Verifica exactamente esa representación; cambiar saltos de línea, codificación, espacios o serialización altera el objeto firmado.
Usa el algoritmo indicado por el publicador y normaliza solo la presentación del valor, no su contenido. No mezcles algoritmos ni conviertas un valor copiado en una aprobación.