IMX Code Signing

Das Tool bietet eine Signier- und Verifizierungs-Engine für Code-Artefakte, mit der Entwickler, DevOps und Sicherheitsteams Releases signieren und Herkunft verifizieren können. Es akzeptiert Artefakte, einen Signier-Schlüssel oder ein Zertifikat und Parameter wie Hash-Algorithmus und Zeitstempelung. Es liefert ein signiertes Artefakt, eine Signatur-Datei und ein Verifizierungs-Manifest.
Konzeptuell bindet Signieren eine kryptografische Signatur an ein Artefakt unter Verwendung eines privaten Schlüssels; Verifizierung prüft die Signatur mit einem öffentlichen Schlüssel und validiert die Zertifikatkette und den Zeitstempel. Das Tool unterstützt RSA und ECDSA, mehrere Hash-Algorithmen und optionale Timestamp Authorities, um langfristige Gültigkeit sicherzustellen.
Nutznießer sind Entwickler, DevOps-Ingenieure und Sicherheitsteams, die wiederholbares Signieren in CI/CD, prüfbare Metadaten und PKI-kompatible Werkzeuge und Ausgaben suchen. Sein einzigartiger Wert liegt in integrierbaren Ergebnissen (Signaturdateien, Metadaten und Verifizierungsberichte), die in vorhandene Release-Workflows passen.
Kernfunktionen umfassen Eingabevalidierung, Signaturgenerierung, Artefakt-Hashing, Signaturverifizierung, Zertifikatketten-Validierung, optionale Zeitstempelung und exportierbare Artefakte. Typische Anwendungsfälle umfassen das Signieren von Release-Binärdateien, Installationsprogrammen, Bibliotheken und Artefakt-Manifests von Containern mit verifizierbarer Provenienz und nachvollziehbaren Logs.