Minisign

Una herramienta increíblemente sencilla para firmar archivos y verificar firmas.

Tabla de contenidos

• Minisign
  • Tabla de contenidos
  • Descripción general
  • Documentación
  • Instalación
    • Paquetes precompilados
    • Compilación con Zig
    • Compilación con CMake y GCC o Clang
  • Uso
    • Generación de un par de claves
    • Firma de archivos
    • Verificación de firmas
  • Verificación de versiones oficiales
  • Docker
  • Compatibilidad con Signify
  • Determinismo de las firmas
  • Herramientas, librerías e implementaciones adicionales

Descripción general

Minisign es una herramienta para firmar archivos y verificar firmas. Está diseñada para ser:

• Sencilla de usar
• Segura (basada en criptografía moderna)
• Mínima (centrada en hacer bien una sola cosa)
• Multiplataforma

Minisign utiliza el sistema de firmas de clave pública Ed25519 con firmas pequeñas y rápidas.

Documentación

Para obtener documentación completa, consulte el sitio web de la documentación de Minisign o la página man incluida.

Instalación

Paquetes precompilados

Minisign está disponible en varios gestores de paquetes:

Compilación con Zig

Dependencias:

• libsodium (opcional)
• zig (versión 0.15.1 o posterior)

Opciones de compilación:

1. Con libsodium, enlazado dinámicamente:

zig build -Doptimize=ReleaseSmall

2. Con libsodium, enlazado estáticamente:

zig build -Doptimize=ReleaseSmall -Dstatic

3. Sin libsodium (no requiere dependencias):

zig build -Doptimize=ReleaseSmall -Dwithout-libsodium

El binario resultante se puede encontrar en zig-out/bin/minisign.

Para una ejecución más rápida a costa de un mayor tamaño del binario, puedes reemplazar ReleaseSmall por ReleaseFast en cualquiera de los comandos anteriores.

Compilación con CMake y GCC o Clang

Dependencias:

• libsodium (requerido)
• CMake
• pkg-config
• GCC o Clang

Compilación:

mkdir build
cd build
cmake ..
make
make install  # with appropriate permissions

Configuración alternativa para binarios estáticos:

cmake -D STATIC_LIBSODIUM=1 ..

o:

cmake -D BUILD_STATIC_EXECUTABLES=1 ..

Uso

Generación de un par de claves

minisign -G

Esto crea:

• Una clave pública (minisign.pub por defecto)
• Una clave secreta protegida por contraseña (minisign.key por defecto)

Firma de archivos

minisign -S -m file.txt

Esto crea un archivo de firma llamado file.txt.minisig.

Para añadir un comentario de confianza que será verificado:

minisign -S -m file.txt -t "Trusted comment here"

Verificación de firmas

minisign -Vm file.txt -p minisign.pub

o con una clave pública directamente:

minisign -Vm file.txt -P RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Verificación de versiones oficiales

Los tarballs y binarios precompilados del proyecto se pueden verificar con la siguiente clave pública:

RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Docker

Minisign está disponible como imagen de Docker:

docker run -i --rm jedisct1/minisign

Ejemplo de cómo generar una clave por primera vez y luego firmar un archivo local:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -G

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -S -m files_to_sign

-s minisign.key crea y utiliza la clave secreta; la clave pública se llamará minisign.pub.

Importante: crea una copia de seguridad y no hagas commit ni compartas el archivo de clave privada generado minisign.key.

Ejemplo de cómo verificar una firma usando la imagen de Docker:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -Vm file_to_verify -p minisign.pub

-p minisign.pub puede omitirse si se ha generado el nombre predeterminado.

La imagen se puede verificar con la siguiente clave pública cosign:

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAExjZWrlc6c58W7ZzmQnx6mugty99C
OQTDtJeciX9LF9hEbs1J1fzZHRdRhV4OTqcq0jTW9PXnrSSZlk1fbkE/5w==
-----END PUBLIC KEY-----

Compatibilidad con Signify

Minisign es compatible con signify, la herramienta de firma de OpenBSD. Las firmas creadas con signify se pueden verificar con minisign, y viceversa.

Determinismo de las firmas

Esta implementación utiliza firmas deterministas, a menos que libsodium se haya compilado con la macro ED25519_NONDETERMINISTIC definida. Esto añade ruido aleatorio al cálculo de los nonces de EdDSA.

Otras implementaciones pueden optar por utilizar firmas no deterministas por defecto. Seguirán siendo totalmente interoperables con las implementaciones que usan firmas deterministas.

Herramientas, librerías e implementaciones adicionales

minizign es ahora la implementación recomendada. Aquí es donde se van a implementar las nuevas funciones.

Otras herramientas y librerías:

• minisign-misc - Conjunto de flujos de trabajo y scripts para macOS para verificar y firmar archivos
• go-minisign - Módulo de Go para verificar firmas de Minisign
• rust-minisign - Librería de Minisign en Rust puro
• rsign2 - Reimplementación de la herramienta de línea de comandos en Rust
• minisign (go) - Reescritura en lenguaje Go (CLI y librería)
• minisign-verify - Crate de Rust pequeño para verificar firmas de Minisign
• minisign-net - Librería .NET para firmas de Minisign
• minisign - Implementación en JavaScript
• Implementaciones en WebAssembly: rsign2 y minisign-cli en WAPM
• minisign-php - Implementación en PHP
• py-minisign - Implementación en Python
• minisign - Implementación en Elixir (solo verificación)
• minisign-java - Implementación en Java
• minisign4j - Implementación en Java (CLI y librería)