Code Signing Tool

La herramienta firma artefactos de software para demostrar origen e integridad, y verifica las firmas para detectar manipulaciones. Conceptualmente, calcula un digest del artefacto, firma el digest con una clave privada y envuelve el resultado en un sobre CMS/PKCS7 o en una firma detach. Esto permite a sistemas finales y pipelines automatizados validar la autenticidad frente a una cadena de certificados de confianza. Entre los beneficiarios se encuentran desarrolladores, ingenieros de seguridad y responsables de liberaciones que dependen de builds reproducibles y auditable. El valor único reside en la combinación de opciones de algoritmo flexibles (RSA o ECDSA, SHA-256/384/512), entrada de certificados simplificada y un timestamp TSA opcional para validez a largo plazo. Las funciones centrales incluyen firma, verificación, manejo de cadenas de certificados y exportación de metadatos de firma, con signing fuera de línea o soportado por HSM para entornos de alta seguridad. Casos de uso típicos incluyen firmar instaladores para paquetes de Windows, macOS y Linux, o integrar firmas en artefactos CI/CD para cumplir con políticas de seguridad empresarial. La herramienta admite tanto sobres CMS embebidos como firmas detach, facilitando la compatibilidad con diversos canales de distribución y herramientas de verificación automatizadas. Se integra con entornos PKI existentes y puede hacer cumplir políticas de firma o comprobaciones de revocación en flujos sensibles. En conjunto, facilita distribución segura, auditorías de cumplimiento más simples y mayor resiliencia de la cadena de suministro entre equipos de desarrollo y lanzamientos de productos.