Elysia Tools
Navigation mobile
Workflow Playbook
Générez une clé de signature de test, examinez les métadonnées du paquet AGEX, vérifiez la signature avec une clé publique de confiance et bloquez la remise si les preuves sont insuffisantes.
Dossiers
Utilisez ce workflow lorsqu'un paquet AGEX doit franchir un contrôle de signature avant d'être remis à un autre opérateur, environnement ou partenaire. Il s'adresse aux responsables de publication, aux équipes sécurité et à l'exploitation qui veulent répondre de manière reproductible à trois questions : que montre le paquet, quelle clé l'a signé, et les preuves autorisent-elles la suite ?
La revue porte sur un artefact précis ; elle ne promet pas la sécurité absolue de toute la chaîne logicielle. Préparez le bundle et sa référence, définissez la version AGEX et les champs visibles acceptables, puis localisez le registre de publication contenant l'empreinte de la clé publique de confiance.
Employez agex-keypair-generator uniquement pour du matériel de test éphémère. Protégez immédiatement la clé privée et excluez-la du paquet, des journaux et de la note de remise. La clé publique créée peut servir à un fixture contrôlé, mais elle ne devient pas automatiquement l'ancre de confiance de la production.
Avec agex-bundle-inspector, relevez la version, le nom, la taille, le type MIME, les informations de signataire et la présence de signature sans déchiffrer le contenu. Comparez ces valeurs à la référence : une signature valide ne dispense pas d'expliquer des métadonnées inattendues.
Lancez agex-signature-verifier avec la clé publique dont l'origine a été confirmée par un registre indépendant ou un canal contrôlé par le responsable. Contrôlez le résultat et l'empreinte ensemble. Si la signature est absente, invalide, différente ou liée à une clé inconnue, bloquez la remise, conservez les preuves et demandez une clarification ou un nouveau bundle.
Archivez les deux rapports, la source de confiance et la décision. Pour un parcours plus large de création et de remise, utilisez le workflow existant agex-secure-file-sharing ; cette revue ne transporte pas les fichiers, ne prouve pas l'identité et ne garantit pas toute la chaîne logicielle.
Guide de workflow
Générez une paire Ed25519 pour le fixture contrôlé, associez-lui le contexte du test, relevez l'empreinte publique et mettez la partie privée à l'abri avant de manipuler le paquet ou le rapport.
Inspectez le paquet AGEX sans déchiffrer son contenu. Comparez la version, les champs visibles, l'identifiant du signataire et la présence de signature avec la référence de publication, puis conservez le rapport.
Fournissez au vérificateur le bundle et la clé publique provenant de la source de confiance indépendante. Lisez ensemble le résultat cryptographique et l'empreinte ; n'utilisez la clé de test que si le fixture a volontairement été signé avec elle.
Archivez les rapports d'inspection et de signature avec la référence et la source de confiance. Remettez le paquet seulement après une vérification réussie et la résolution des écarts ; sinon, isolez-le et consignez le blocage.
Le générateur sert à exercer le parcours avec une clé éphémère et à en conserver l'empreinte publique. Pour une remise réelle, la clé de vérification doit venir du responsable de publication ; une clé nouvellement créée ne prouve pas l'origine de production.
Avant la vérification cryptographique, convenez de la version AGEX, du nom visible, de la taille, du type MIME, de l'identifiant du signataire et de la présence de signature. Toute valeur inattendue doit être expliquée avant acceptation.
Bloquez la remise si la signature manque, échoue, correspond à une autre clé ou présente une empreinte inconnue. Conservez le paquet et les rapports, contrôlez les octets et la source de confiance hors outil, puis demandez un artefact corrigé.
Calculateurs, outils numériques, logique de dates, statistiques et finance