IMX Code Signing

Værktøjet leverer en signerings- og verifikationsmotor for kodeartefakter, så udviklere, DevOps og sikkerhedsteams kan signere udgivelser og verificere provenance. Det accepterer artefakter, en signeringsnøgle eller certifikat samt parametre som hash-algoritme og tidsstempling. Det producerer et signeret artefakt, en signaturfil og et verificeringsmanifest.
-konceptuelt binder signering en kryptografisk signatur til et artefakt ved hjælp af en privat nøgle; verifikation kontrollerer signaturen med en offentlig nøgle og validerer certifikatkæden og tidsstemplet. Værktøjet understøtter RSA og ECDSA, flere hash-algoritmer og valgfri tidsstemplingsmyndigheder for at sikre lang levetid.
Fordelene er integrationsvenlige resultater (signaturfiler, metadata og verifieringsrapporter), der passer ind i eksisterende release-workflows.
Kernefunktioner inkluderer inputvalidering, signaturgenerering, artefakt-hashing, signaturverifikation, certifikatkædevalidering, valgfri tidsstempling og eksportérbare artefakter. Typiske scenarier inkluderer signering af release-binaries, installatører, containerbilleder og biblioteksartefakter med verificerbar provenance og sporbare logs.