Minisign

Uno strumento semplicissimo per firmare file e verificare firme.

Indice

• Minisign
  • Indice
  • Panoramica
  • Documentazione
  • Installazione
    • Pacchetti precompilati
    • Compilazione con Zig
    • Compilazione con CMake e GCC o Clang
  • Uso
    • Generazione di una coppia di chiavi
    • Firma dei file
    • Verifica delle firme
  • Verifica delle release ufficiali
  • Docker
  • Compatibilità con Signify
  • Determinismo delle firme
  • Ulteriori strumenti, librerie e implementazioni

Panoramica

Minisign è uno strumento per firmare file e verificare firme. È progettato per essere:

• Semplice da usare
• Sicuro (basato su crittografia moderna)
• Minimo (concentrato nel fare bene una sola cosa)
• Multipiattaforma

Minisign usa il sistema di firma a chiave pubblica Ed25519 con firme piccole e veloci.

Documentazione

Per una documentazione completa, fai riferimento al sito web della documentazione di Minisign o al man page incluso.

Installazione

Pacchetti precompilati

Minisign è disponibile in vari gestori di pacchetti:

Compilazione con Zig

Dipendenze:

• libsodium (opzionale)
• zig (versione 0.15.1 o successiva)

Opzioni di compilazione:

1. Con libsodium, collegato dinamicamente:

zig build -Doptimize=ReleaseSmall

2. Con libsodium, collegato staticamente:

zig build -Doptimize=ReleaseSmall -Dstatic

3. Senza libsodium (nessuna dipendenza richiesta):

zig build -Doptimize=ReleaseSmall -Dwithout-libsodium

Il binario risultante si trova in zig-out/bin/minisign.

Per un'esecuzione più veloce a scapito di una dimensione del binario maggiore, puoi sostituire ReleaseSmall con ReleaseFast in uno qualsiasi dei comandi precedenti.

Compilazione con CMake e GCC o Clang

Dipendenze:

• libsodium (richiesta)
• CMake
• pkg-config
• GCC o Clang

Compilazione:

mkdir build
cd build
cmake ..
make
make install  # with appropriate permissions

Configurazione alternativa per binari statici:

cmake -D STATIC_LIBSODIUM=1 ..

oppure:

cmake -D BUILD_STATIC_EXECUTABLES=1 ..

Uso

Generazione di una coppia di chiavi

minisign -G

Questo crea:

• Una chiave pubblica (minisign.pub di default)
• Una chiave segreta protetta da password (minisign.key di default)

Firma dei file

minisign -S -m file.txt

Questo crea un file di firma chiamato file.txt.minisig.

Per aggiungere un commento fidato che verrà verificato:

minisign -S -m file.txt -t "Trusted comment here"

Verifica delle firme

minisign -Vm file.txt -p minisign.pub

oppure con una chiave pubblica direttamente:

minisign -Vm file.txt -P RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Verifica delle release ufficiali

I tarball e i binari precompilati del progetto possono essere verificati con la seguente chiave pubblica:

RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Docker

Minisign è disponibile come immagine Docker:

docker run -i --rm jedisct1/minisign

Esempio di generazione di una chiave al primo utilizzo e successiva firma di un file locale:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -G

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -S -m files_to_sign

-s minisign.key crea e usa la chiave segreta; la chiave pubblica sarà chiamata minisign.pub.

Importante: crea un backup e non committare o condividere il file della tua chiave privata minisign.key.

Esempio di verifica di una firma usando l'immagine Docker:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -Vm file_to_verify -p minisign.pub

-p minisign.pub può essere omesso se è stato generato il nome predefinito.

L'immagine può essere verificata con la seguente chiave pubblica cosign:

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAExjZWrlc6c58W7ZzmQnx6mugty99C
OQTDtJeciX9LF9hEbs1J1fzZHRdRhV4OTqcq0jTW9PXnrSSZlk1fbkE/5w==
-----END PUBLIC KEY-----

Compatibilità con Signify

Minisign è compatibile con signify, lo strumento di firma di OpenBSD. Le firme create con signify possono essere verificate con minisign, e viceversa.

Determinismo delle firme

Questa implementazione usa firme deterministiche, a meno che libsodium non sia stato compilato con la macro ED25519_NONDETERMINISTIC definita. Questo aggiunge rumore casuale al calcolo dei nonce EdDSA.

Altre implementazioni possono scegliere di usare firme non deterministiche di default. Rimarranno pienamente interoperabili con le implementazioni che usano firme deterministiche.

Ulteriori strumenti, librerie e implementazioni

minizign è ora l'implementazione consigliata. È qui che verranno implementate le nuove funzionalità.

Altri strumenti e librerie:

• minisign-misc - Insieme di workflow e script per macOS per verificare e firmare file
• go-minisign - Modulo Go per verificare le firme Minisign
• rust-minisign - Libreria Minisign in puro Rust
• rsign2 - Reimplementazione dello strumento da riga di comando in Rust
• minisign (go) - Riscrittura in linguaggio Go (CLI e libreria)
• minisign-verify - Piccola crate Rust per verificare le firme Minisign
• minisign-net - Libreria .NET per le firme Minisign
• minisign - Implementazione JavaScript
• Implementazioni WebAssembly: rsign2 e minisign-cli su WAPM
• minisign-php - Implementazione PHP
• py-minisign - Implementazione Python
• minisign - Implementazione Elixir (solo verifica)
• minisign-java - Implementazione Java
• minisign4j - Implementazione Java (CLI e libreria)