IMX Code Signing

L’outil fournit un moteur de signature et de vérification pour les artefacts de code, permettant aux développeurs, DevOps et équipes de sécurité de signer les versions et de vérifier leur provenance. Il accepte des artefacts, une clé ou un certificat de signature, et des paramètres tels que l’algorithme de hachage et l’horodatage. Il produit un artefact signé, un fichier de signature et un manifeste de vérification.
Conception: la signature lie une signature cryptographique à un artefact à l’aide d’une clé privée; la vérification vérifie la signature à l’aide d’une clé publique et valide la chaîne de certificats et l’horodatage. L’outil prend en charge RSA et ECDSA, plusieurs algorithmes de hachage et des autorités d’horodatage optionnelles pour garantir une validité à long terme.
Bénéficiaires: développeurs, ingénieurs DevOps et équipes de sécurité recherchant une signature répétable dans CI/CD, des métadonnées auditées et des outils/outputs compatibles PKI. Sa valeur réside dans des résultats intégrables (fichiers de signature, métadonnées et rapports de vérification) qui s’intègrent dans les workflows de release.
Fonctionnalités clés: validation des entrées, génération de signatures, hachage d’artefacts, vérification des signatures, validation de la chaîne de certificats, horodatage optionnel et artefacts exportables. Cas d’utilisation typiques: signer les binaires de release, les installateurs, les images de conteneurs et les artefacts de bibliothèque avec une provenance vérifiable et des journaux traçables.