Elysia Tools
Навигация
Workflow Playbook
Вычислите или воспроизведите хеш известного файла, сравните его с опубликованной контрольной суммой и проверьте отсоединенную подпись Ed25519 с публичным ключом, доверие к которому подтверждено отдельно.
Темы
Этот процесс предназначен для релиз-инженеров, специалистов по безопасности и операционных команд, которые получают известный файл с дайджестом и отсоединенной подписью. Сохраните неизменную копию, запишите источник и до проверок зафиксируйте алгоритм, контрольную сумму, кодировку подписи и отпечаток публичного ключа.
Используйте file-hash-verifier, чтобы вычислить дайджест точных байтов файла. Если подпись покрывает манифест или канонический текст, применяйте hash-generator только к этому представлению. Не объединяйте результаты без прямого указания в спецификации подписи.
Затем примените checksum-comparator для сравнения локального дайджеста с суммой издателя. Совпадение дает свидетельство на уровне байтов, но не доказывает авторство; источник суммы также должен быть доверенным.
Запустите ed25519-x25519-keygen-signature-verifier в режиме проверки с точным сообщением, отсоединенной подписью и публичным ключом. Сохраните исходные сериализацию и кодировку. Ошибка может быть вызвана измененными байтами или форматом; успех все равно требует подтвердить, что отпечаток ключа принадлежит ожидаемому подписанту.
Запишите отдельно результат целостности файла, результат подписи и статус доверия к публичному ключу. Принимайте артефакт только при совпадении ожидаемого дайджеста, действительной подписи нужной нагрузки и подтвержденном ключе. Неизвестные или отрицательные результаты отправляйте на проверку.
Руководство по рабочему процессу
Используйте неизмененный файл и алгоритм издателя. Сохраните вычисленный дайджест, имя, размер и ожидаемое значение; не редактируйте артефакт между получением и вычислением.
Если подпись относится к каноническому тексту, манифесту или строке дайджеста, воспроизведите точно это представление и вычислите его дайджест с указанной кодировкой. Не считайте его автоматически дайджестом байтов файла.
Сопоставьте локальное значение с суммой, полученной из независимого источника, и подтвердите одинаковый алгоритм и один и тот же артефакт. При расхождении сохраните подробности результата.
Передайте на проверку точное представление сообщения, отсоединенную подпись и публичный ключ. Запишите логический результат и отдельно подтвердите отпечаток ключа через доверенный канал; успешная подпись недоверенным ключом не доказывает происхождение.
Совпавший хеш показывает, что проверенные байты соответствуют эталонному значению, но не показывает, кто создал файл. Подпись подтверждает сведения о подписанте только при точном содержимом и отдельно подтвержденном доверии к ключу.
Уточните, подписаны ли исходные байты файла, канонический текст, манифест или строка дайджеста. Проверяйте именно это представление: переводы строк, кодировка, пробелы и сериализация меняют подписанную нагрузку.
Используйте алгоритм, указанный издателем, и нормализуйте только отображение значения. Не смешивайте алгоритмы и не превращайте скопированное значение в положительный результат.