Elysia Tools
Navigation mobile
Workflow Playbook
Calculez ou reproduisez le hash d'un fichier connu, comparez-le à une somme publiée et vérifiez une signature Ed25519 détachée avec une clé publique dont la confiance a été confirmée séparément.
Dossiers
Ce workflow s'adresse aux responsables de mise en production, aux réviseurs sécurité et aux équipes qui reçoivent un fichier connu avec un digest et une signature détachée. Conservez une copie intacte, notez sa provenance et relevez l'algorithme, la somme, l'encodage de signature et l'empreinte de la clé avant les contrôles.
Utilisez file-hash-verifier pour calculer un digest sur les octets exacts du fichier. Si la signature porte sur un manifeste ou un texte canonique, utilisez hash-generator uniquement avec cette représentation. Ne rapprochez les deux résultats que si la spécification le demande.
Utilisez ensuite checksum-comparator pour comparer le digest local à la somme de l'éditeur. Une correspondance apporte une preuve au niveau des octets, pas une preuve d'auteur ; la source de la somme doit elle aussi être fiable.
Passez par ed25519-x25519-keygen-signature-verifier en mode vérification avec le message exact, la signature détachée et la clé publique. Conservez la sérialisation et l'encodage d'origine. Un échec peut venir d'octets ou d'un format modifié ; un succès exige encore de confirmer que l'empreinte de la clé appartient au signataire attendu.
Consignez séparément l'intégrité du fichier, le résultat de signature et la confiance accordée à la clé publique. N'acceptez que si le digest attendu correspond, si la signature couvre le contenu prévu et si la clé a été confirmée par le canal autorisé. Toute valeur inconnue ou négative reste à examiner.
Guide de workflow
Utilisez le fichier inchangé et l'algorithme annoncé par l'éditeur. Conservez le digest calculé, le nom, la taille et la valeur attendue sans modifier l'artefact entre sa réception et le calcul.
Si la signature porte sur un texte canonique, un manifeste ou une chaîne de digest, reproduisez cette représentation exacte et calculez son digest avec l'encodage déclaré. Ne la confondez pas avec le digest des octets du fichier.
Comparez la valeur locale à la somme obtenue indépendamment et vérifiez que l'algorithme et l'artefact sont les mêmes. Conservez les détails de l'écart s'ils diffèrent.
Fournissez la représentation exacte du message, la signature détachée et la clé publique. Notez le résultat booléen puis confirmez séparément que l'empreinte de la clé vient d'un canal de confiance ; une clé non approuvée ne permet pas de conclure à la provenance.
Un hash identique montre que les octets contrôlés correspondent à une valeur de référence, mais pas qui a produit le fichier. La signature ne renseigne sur le signataire que si le contenu signé et la confiance accordée à la clé sont exacts.
Déterminez si elle couvre les octets bruts, un texte canonique, un manifeste ou une chaîne de digest. Vérifiez cette même représentation ; les retours à la ligne, l'encodage, les espaces et la sérialisation comptent.
Employez l'algorithme annoncé par l'éditeur et ne normalisez que la présentation de la valeur. Ne mélangez pas les algorithmes et ne transformez pas une valeur copiée en résultat positif.
Calculateurs, outils numériques, logique de dates, statistiques et finance