Elysia Tools
Navegação
Workflow Playbook
Gere uma chave de assinatura de teste, confira os metadados do pacote AGEX, valide a assinatura com uma chave pública confiável e bloqueie a entrega quando faltarem evidências.
Temas
Use este fluxo quando um pacote AGEX precisar passar por uma barreira de assinatura antes de ser entregue a outro operador, ambiente ou parceiro. Ele atende revisores de release, equipes de segurança e operações que precisam responder de forma repetível o que o pacote expõe, qual chave o assinou e se as evidências permitem prosseguir.
A análise cobre um artefato específico e não promete segurança absoluta para toda a cadeia de suprimentos. Prepare o bundle e sua referência, defina a versão AGEX e os campos visíveis aceitáveis e localize o registro de release que contém a impressão digital da chave pública confiável.
Use agex-keypair-generator somente para material de teste descartável. Proteja a chave privada imediatamente e mantenha-a fora do pacote, dos logs e da nota de entrega. A chave pública gerada pode apoiar um fixture controlado, mas não se torna automaticamente a raiz de confiança da produção.
Com agex-bundle-inspector, registre versão, nome, tamanho, tipo MIME, dados do assinante e presença de assinatura sem descriptografar o conteúdo. Compare os valores com a referência. Mesmo uma assinatura válida exige investigação quando os metadados visíveis não correspondem.
Execute agex-signature-verifier com a chave pública cuja origem foi confirmada por um registro independente ou canal controlado pelo responsável. Avalie o resultado e a impressão digital em conjunto. Se a assinatura estiver ausente, inválida, diferente ou ligada a uma chave desconhecida, bloqueie a entrega, preserve as evidências e peça esclarecimento ou um novo bundle.
Arquive os dois relatórios, a fonte de confiança e a decisão. Para criação e entrega completas, use o workflow existente agex-secure-file-sharing; esta revisão não transporta arquivos, não comprova identidade e não garante segurança absoluta da cadeia de suprimentos.
Guia de fluxo de trabalho
Crie um par Ed25519 para o fixture controlado, identifique-o com o contexto do teste, anote a impressão digital pública e proteja a parte privada antes de manipular o pacote ou o relatório.
Inspecione o pacote AGEX sem descriptografar o conteúdo. Compare versão, campos visíveis, identificador do assinante e presença da assinatura com o registro esperado e guarde o resultado.
Forneça ao verificador o bundle e a chave pública obtida da fonte independente. Confira o resultado criptográfico junto com a impressão digital; só use a chave de teste se o fixture tiver sido assinado deliberadamente com ela.
Arquive os relatórios de inspeção e assinatura com a referência e a fonte de confiança. Entregue somente após uma verificação bem-sucedida e divergências resolvidas; caso contrário, isole o bundle e registre o bloqueio.
Use o gerador para uma trilha de teste descartável e registre a impressão digital pública. Em uma entrega real, a chave deve vir do responsável pelo release; uma chave recém-criada não comprova a origem de produção.
Antes da validação, estabeleça a versão AGEX, o nome visível, o tamanho, o tipo MIME, o identificador do assinante e a presença esperada de assinatura. Qualquer divergência precisa de explicação antes da aceitação.
Assinatura ausente, inválida, associada a outra chave ou com impressão desconhecida interrompe a entrega. Preserve o pacote e os relatórios, confirme bytes e origem fora da ferramenta e solicite um artefato corrigido.
Security
Inspeciona metadados de um bundle AGEX sem descriptografar o conteudo