Minisign

一个极其简单的工具，用于签名文件并验证签名。

目录

• Minisign
  • 目录
  • 概述
  • 文档
  • 安装
    • 预构建包
    • 使用 Zig 构建
    • 使用 CMake 和 GCC 或 Clang 构建
  • 用法
    • 生成密钥对
    • 签署文件
    • 验证签名
  • 验证官方发布版本
  • Docker
  • 与 Signify 的兼容性
  • 签名确定性
  • 其他工具、库与实现

概述

Minisign 是一个用于签名文件并验证签名的工具。它的设计目标是：

• 简单易用
• 安全（基于现代密码学）
• 精简（专注于做好一件事）
• 跨平台

Minisign 使用 Ed25519 公钥签名系统，签名体积小且速度快。

文档

如需完整文档，请参阅 Minisign 文档 网站或随附的手册页。

安装

预构建包

Minisign 可通过多种软件包管理器安装：

使用 Zig 构建

依赖：

• libsodium（可选）
• zig（0.15.1 或更高版本）

编译选项：

1. 使用 libsodium，动态链接：

zig build -Doptimize=ReleaseSmall

2. 使用 libsodium，静态链接：

zig build -Doptimize=ReleaseSmall -Dstatic

3. 不使用 libsodium（无需任何依赖）：

zig build -Doptimize=ReleaseSmall -Dwithout-libsodium

生成的二进制文件位于 zig-out/bin/minisign。

如需更快执行，代价是二进制体积更大，可将上述任意命令中的 ReleaseSmall 替换为 ReleaseFast。

使用 CMake 和 GCC 或 Clang 构建

依赖：

• libsodium（必需）
• CMake
• pkg-config
• GCC 或 Clang

编译：

mkdir build
cd build
cmake ..
make
make install  # with appropriate permissions

静态二进制的替代配置：

cmake -D STATIC_LIBSODIUM=1 ..

或：

cmake -D BUILD_STATIC_EXECUTABLES=1 ..

用法

生成密钥对

minisign -G

这将创建：

• 一个公钥（默认 minisign.pub）
• 一个受密码保护的私钥（默认 minisign.key）

签署文件

minisign -S -m file.txt

这将创建名为 file.txt.minisig 的签名文件。

若要添加一条可被验证的可信注释：

minisign -S -m file.txt -t "Trusted comment here"

验证签名

minisign -Vm file.txt -p minisign.pub

或直接使用公钥：

minisign -Vm file.txt -P RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

验证官方发布版本

本项目提供的 tarball 包和预编译二进制文件可以使用以下公钥进行验证：

RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3

Docker

Minisign 以 Docker 镜像形式提供：

docker run -i --rm jedisct1/minisign

首次生成密钥并随后签名本地文件的示例：

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -G

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -s minisign.key -S -m files_to_sign

-s minisign.key 将创建并使用私钥；公钥将被命名为 minisign.pub。

重要提示：请创建备份，且不要提交或分享生成的私钥文件 minisign.key。

使用 Docker 镜像验证签名的示例：

docker run -i --rm -v .:/minisign jedisct1/minisign \
  -Vm file_to_verify -p minisign.pub

如果已生成默认名称，可以省略 -p minisign.pub。

该镜像可以使用以下 cosign 公钥进行验证：

-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAExjZWrlc6c58W7ZzmQnx6mugty99C
OQTDtJeciX9LF9hEbs1J1fzZHRdRhV4OTqcq0jTW9PXnrSSZlk1fbkE/5w==
-----END PUBLIC KEY-----

与 Signify 的兼容性

Minisign 与 signify（OpenBSD 签名工具）兼容。使用 signify 创建的签名可以用 minisign 验证，反之亦然。

签名确定性

除非 libsodium 在编译时定义了 ED25519_NONDETERMINISTIC 宏，否则此实现使用确定性签名。该宏会向 EdDSA nonce 的计算中加入随机噪声。

其他实现可以选择默认使用非确定性签名。它们仍将与使用确定性签名的实现完全互操作。

其他工具、库与实现

minizign 现在是推荐的实现。新功能将在此实现中添加。

其他工具和库：

• minisign-misc - 一组用于在 macOS 上验证和签名文件的工作流和脚本
• go-minisign - 用于验证 Minisign 签名的 Go 模块
• rust-minisign - 纯 Rust 编写的 Minisign 库
• rsign2 - 用 Rust 重新实现的命令行工具
• minisign (go) - 用 Go 语言重写（CLI 和库）
• minisign-verify - 用于验证 Minisign 签名的小型 Rust crate
• minisign-net - 用于 Minisign 签名的 .NET 库
• minisign - JavaScript 实现
• WebAssembly 实现：WAPM 上的 rsign2 和 minisign-cli
• minisign-php - PHP 实现
• py-minisign - Python 实现
• minisign - Elixir 实现（仅验证）
• minisign-java - Java 实现
• minisign4j - Java 实现（CLI 和库）