Minisign

Uma ferramenta extremamente simples para assinar arquivos e verificar assinaturas.

Índice

• Minisign
  • Índice
  • Visão geral
  • Documentação
  • Instalação
    • Pacotes pré-compilados
    • Compilando com Zig
    • Compilando com CMake e GCC ou Clang
  • Uso
    • Gerando um par de chaves
    • Assinando arquivos
    • Verificando assinaturas
  • Verificação de lançamentos oficiais
  • Docker
  • Compatibilidade com Signify
  • Determinismo de assinatura
  • Ferramentas, bibliotecas e implementações adicionais

Visão geral

Minisign é uma ferramenta para assinar arquivos e verificar assinaturas. Ela foi projetada para ser:

• Simples de usar
• Segura (baseada em criptografia moderna)
• Mínima (focada em fazer bem uma única coisa)
• Multiplataforma

O Minisign usa o sistema de assinatura de chave pública Ed25519 com assinaturas pequenas e rápidas.

Documentação

Para documentação abrangente, consulte o site da documentação do Minisign ou a página de manual incluída.

Instalação

Pacotes pré-compilados

O Minisign está disponível em vários gerenciadores de pacotes:

Compilando com Zig

Dependências:

• libsodium (opcional)
• zig (versão 0.15.1 ou posterior)

Opções de compilação:

1. Com libsodium, vinculado dinamicamente:

zig build -Doptimize=ReleaseSmall

2. Com libsodium, vinculado estaticamente:

zig build -Doptimize=ReleaseSmall -Dstatic

3. Sem libsodium (nenhuma dependência necessária):

zig build -Doptimize=ReleaseSmall -Dwithout-libsodium

O binário resultante pode ser encontrado em zig-out/bin/minisign.

Para uma execução mais rápida ao custo de um binário maior, você pode substituir ReleaseSmall por ReleaseFast em qualquer um dos comandos acima.

Compilando com CMake e GCC ou Clang

Dependências:

• libsodium (obrigatório)
• CMake
• pkg-config
• GCC ou Clang

Compilação:

mkdir build
cd build
cmake ..
make
make install  # with appropriate permissions

Configuração alternativa para binários estáticos:

cmake -D STATIC_LIBSODIUM=1 ..

ou:

cmake -D BUILD_STATIC_EXECUTABLES=1 ..

Uso

Gerando um par de chaves

minisign -G

Isso cria:

• Uma chave pública (minisign.pub por padrão)
• Uma chave secreta protegida por senha (minisign.key por padrão)

Assinando arquivos

minisign -S -m file.txt

Isso cria um arquivo de assinatura chamado file.txt.minisig.

Para adicionar um comentário confiável que será verificado:

minisign -S -m file.txt -t "Trusted comment here"

Verificando assinaturas

minisign -Vm file.txt -p minisign.pub

ou com uma chave pública diretamente:

minisign -Vm file.txt -P RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Verificação de lançamentos oficiais

Os tarballs e binários pré-compilados do projeto podem ser verificados com a seguinte chave pública:

RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Docker

O Minisign está disponível como uma imagem Docker:

docker run -i --rm jedisct1/minisign

Exemplo de geração de uma chave pela primeira vez e, em seguida, assinatura de um arquivo local:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -G

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -S -m files_to_sign

-s minisign.key cria e usa a chave secreta; a chave pública será nomeada minisign.pub.

Importante: faça um backup e não faça commit nem compartilhe o arquivo de chave privada gerado minisign.key.

Exemplo de verificação de uma assinatura usando a imagem Docker:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -Vm file_to_verify -p minisign.pub

-p minisign.pub pode ser omitido se o nome padrão tiver sido gerado.

A imagem pode ser verificada com a seguinte chave pública cosign:

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAExjZWrlc6c58W7ZzmQnx6mugty99C
OQTDtJeciX9LF9hEbs1J1fzZHRdRhV4OTqcq0jTW9PXnrSSZlk1fbkE/5w==
-----END PUBLIC KEY-----

Compatibilidade com Signify

O Minisign é compatível com o signify, a ferramenta de assinatura do OpenBSD. Assinaturas criadas com o signify podem ser verificadas com o minisign, e vice-versa.

Determinismo de assinatura

Esta implementação usa assinaturas determinísticas, a menos que o libsodium tenha sido compilado com a macro ED25519_NONDETERMINISTIC definida. Isso adiciona ruído aleatório ao cálculo dos nonces EdDSA.

Outras implementações podem optar por usar assinaturas não determinísticas por padrão. Elas permanecerão totalmente interoperáveis com implementações que usam assinaturas determinísticas.

Ferramentas, bibliotecas e implementações adicionais

minizign é agora a implementação recomendada. É nela que novos recursos serão implementados.

Outras ferramentas e bibliotecas:

• minisign-misc - Conjunto de fluxos de trabalho e scripts para macOS para verificar e assinar arquivos
• go-minisign - Módulo Go para verificar assinaturas do Minisign
• rust-minisign - Biblioteca Minisign em Rust puro
• rsign2 - Reimplementação da ferramenta de linha de comando em Rust
• minisign (go) - Reescrita na linguagem Go (CLI e biblioteca)
• minisign-verify - Pequena crate Rust para verificar assinaturas do Minisign
• minisign-net - Biblioteca .NET para assinaturas do Minisign
• minisign - Implementação em JavaScript
• Implementações WebAssembly: rsign2 e minisign-cli no WAPM
• minisign-php - Implementação em PHP
• py-minisign - Implementação em Python
• minisign - Implementação em Elixir (somente verificação)
• minisign-java - Implementação em Java
• minisign4j - Implementação em Java (CLI e biblioteca)