Outil de Signature de Code

L'outil signe les artefacts logiciels Linux en produisant une signature cryptographique sur le hash de l'artefact. Il prend en charge les backends de signature Linux courants et s'intègre aux workflows de packaging standard. Il opère sans suppositions d'interface utilisateur, en se concentrant sur la logique backend et l'intégrité des artefacts.
Conception: il calcule un digest (hash) du fichier cible et signe le digest avec une clé privée configurée; il peut émettre une signature détachée ou attachée selon le flux de travail. Il produit également des artefacts tels que le digest du fichier et l'empreinte de la clé pour l'audit.
Les bénéficiaires incluent les développeurs, les équipes DevSecOps et les ingénieurs de release distribuant des paquets Linux (DEB/RPM) ou des tarballs. La valeur unique réside dans le support multi-clefs, les algorithmes de hachage configurables, l'horodatage RFC3161 optionnel et une vérification simplifiée dans les pipelines automatisés.
Fonctions centrales: sélection de clé, gestion de mot de passe, signatures détachées/attachées, plusieurs formats de sortie, sorties digest et empreinte, et primitives de vérification pour confirmer l'intégrité par rapport aux clés publiques. Cas d'usage typiques: signatures de releases, vérification d'artefacts en CI et chaîne d'approvisionnement logicielle sécurisée.