IMX Code Signing

La herramienta proporciona un motor de firma y verificación para artefactos de código, permitiendo a desarrolladores, DevOps y equipos de seguridad firmar versiones y verificar su procedencia. Acepta artefactos, una clave o certificado de firma, y parámetros como algoritmo de hash y timestamping. Genera un artefacto firmado, un archivo de firma y un manifiesto de verificación.
Conceptualmente, la firma vincula una firma criptográfica a un artefacto usando una clave privada; la verificación comprueba la firma con una clave pública y valida la cadena de certificados y el timestamp. La herramienta soporta RSA y ECDSA, múltiples algoritmos de hash y autoridades de timestamping opcionales para garantizar validez a largo plazo.
Beneficiarios incluyen desarrolladores, ingenieros de DevOps y equipos de seguridad que buscan firma repetible en CI/CD, metadatos auditable y herramientas y salidas compatibles PKI. Su valor único radica en resultados listos para integrar (archivos de firma, metadatos y informes de verificación) que encajan en flujos de lanzamiento existentes.
Funciones centrales incluyen validación de entradas, generación de firmas, hashing de artefactos, verificación de firmas, validación de cadena de certificados, timestamping opcional y artefactos exportables. Casos de uso típicos: firmar binarios de lanzamiento, instaladores, imágenes de contenedores y artefactos de bibliotecas con procedencia verificable y registros trazables.