Minisign

Простейший инструмент для подписания файлов и проверки подписей.

Оглавление

• Minisign
  • Оглавление
  • Обзор
  • Документация
  • Установка
    • Готовые пакеты
    • Сборка с помощью Zig
    • Сборка с CMake и GCC или Clang
  • Использование
    • Создание пары ключей
    • Подписание файлов
    • Проверка подписей
  • Проверка официальных релизов
  • Docker
  • Совместимость с Signify
  • Детерминированность подписей
  • Дополнительные инструменты, библиотеки и реализации

Обзор

Minisign — это инструмент для подписания файлов и проверки подписей. Он спроектирован так, чтобы быть:

• Простым в использовании
• Безопасным (на основе современной криптографии)
• Минималистичным (сосредоточен на качественном выполнении одной задачи)
• Кроссплатформенным

Minisign использует систему цифровой подписи Ed25519 с короткими и быстрыми подписями.

Документация

Полную документацию см. на сайте документации Minisign или во встроенной man-странице.

Установка

Готовые пакеты

Minisign доступен в различных менеджерах пакетов:

Сборка с помощью Zig

Зависимости:

• libsodium (необязательно)
• zig (версия 0.15.1 или новее)

Варианты компиляции:

1. С libsodium, динамическая линковка:

zig build -Doptimize=ReleaseSmall

2. С libsodium, статическая линковка:

zig build -Doptimize=ReleaseSmall -Dstatic

3. Без libsodium (не требуется зависимостей):

zig build -Doptimize=ReleaseSmall -Dwithout-libsodium

Полученный бинарный файл можно найти в zig-out/bin/minisign.

Для более быстрого выполнения за счёт большего размера бинарного файла можно заменить ReleaseSmall на ReleaseFast в любой из приведённых выше команд.

Сборка с CMake и GCC или Clang

Зависимости:

• libsodium (обязательно)
• CMake
• pkg-config
• GCC или Clang

Компиляция:

mkdir build
cd build
cmake ..
make
make install  # with appropriate permissions

Альтернативная конфигурация для статических бинарных файлов:

cmake -D STATIC_LIBSODIUM=1 ..

или:

cmake -D BUILD_STATIC_EXECUTABLES=1 ..

Использование

Создание пары ключей

minisign -G

Это создаёт:

• Публичный ключ (minisign.pub по умолчанию)
• Защищённый паролем секретный ключ (minisign.key по умолчанию)

Подписание файлов

minisign -S -m file.txt

Это создаёт файл подписи с именем file.txt.minisig.

Чтобы добавить доверенный комментарий, который будет проверяться:

minisign -S -m file.txt -t "Trusted comment here"

Проверка подписей

minisign -Vm file.txt -p minisign.pub

или напрямую с публичным ключом:

minisign -Vm file.txt -P RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Проверка официальных релизов

Tarball-архивы и предкомпилированные бинарные файлы проекта можно проверить с помощью следующего публичного ключа:

RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Docker

Minisign доступен в виде Docker-образа:

docker run -i --rm jedisct1/minisign

Пример создания ключа при первом запуске и последующего подписания локального файла:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -G

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -S -m files_to_sign

-s minisign.key создаёт и использует секретный ключ; публичный ключ будет называться minisign.pub.

Важно: создайте резервную копию и не коммитьте и не передавайте никому созданный закрытый ключ minisign.key.

Пример проверки подписи с помощью Docker-образа:

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -Vm file_to_verify -p minisign.pub

-p minisign.pub можно опустить, если было создано имя по умолчанию.

Образ можно проверить с помощью следующего публичного ключа cosign:

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAExjZWrlc6c58W7ZzmQnx6mugty99C
OQTDtJeciX9LF9hEbs1J1fzZHRdRhV4OTqcq0jTW9PXnrSSZlk1fbkE/5w==
-----END PUBLIC KEY-----

Совместимость с Signify

Minisign совместим с signify, инструментом подписания из OpenBSD. Подписи, созданные с помощью signify, можно проверять с помощью minisign, и наоборот.

Детерминированность подписей

Эта реализация использует детерминированные подписи, если только libsodium не был скомпилирован с определённым макросом ED25519_NONDETERMINISTIC. Он добавляет случайный шум в вычисление нонсов EdDSA.

Другие реализации могут по умолчанию использовать недетерминированные подписи. Они останутся полностью совместимыми с реализациями, использующими детерминированные подписи.

Дополнительные инструменты, библиотеки и реализации

minizign теперь является рекомендуемой реализацией. Именно здесь будут реализовываться новые возможности.

Другие инструменты и библиотеки:

• minisign-misc - набор рабочих процессов и скриптов для macOS для проверки и подписания файлов
• go-minisign - модуль Go для проверки подписей Minisign
• rust-minisign - библиотека Minisign на чистом Rust
• rsign2 - ре-реализация инструмента командной строки на Rust
• minisign (go) - переписанная версия на Go (CLI и библиотека)
• minisign-verify - небольшой крейт Rust для проверки подписей Minisign
• minisign-net - библиотека .NET для подписей Minisign
• minisign - реализация на JavaScript
• WebAssembly-реализации: rsign2 и minisign-cli на WAPM
• minisign-php - реализация на PHP
• py-minisign - реализация на Python
• minisign - реализация на Elixir (только проверка)
• minisign-java - реализация на Java
• minisign4j - реализация на Java (CLI и библиотека)