Beleid voor codeondertekening
Wie de uitgaven van amenbo ondertekent, hoe ze gebouwd worden en waar ze verspreid worden.
Deze pagina bestaat zodat iedereen die een uitgave van amenbo ontvangt, kan vaststellen of die echt van ons komt. Ze vermeldt wat er ondertekend wordt, hoe er gebouwd wordt, wie een handtekening goedkeurt en waar de binaire bestanden gepubliceerd worden.
Wat je vandaag kunt controleren
Op uitgaven voor elk platform gelden twee controles.
- GitHub-bouwattesten — die leggen vast welke repository, welke commit en welke workflow een
artefact hebben voortgebracht. Iedereen kan er een controleren met
gh attestation verify. - minisign-handtekeningen voor updates — wanneer de app zichzelf bijwerkt, controleert ze de handtekening van wat ze gedownload heeft.
De artefacten
| Artefact | Inhoud |
|---|---|
amenbo-app-windows-x64-setup.exe | Installatieprogramma voor de app met interface (NSIS). Het bevat de CLI en zet die in het PATH |
amenbo-windows-amd64.exe | Het losse binaire bestand van de CLI |
Authenticode-ondertekening (nog niet ingericht)
De Windows-artefacten dragen op dit moment geen Authenticode-handtekening. Wanneer ondertekening wordt ingevoerd, gebeurt dat onder de volgende voorwaarden.
- Alleen artefacten die door CI gebouwd zijn, worden ter ondertekening aangeboden. Niets dat op de eigen machine van een ontwikkelaar gebouwd is, wordt ondertekend.
- Elk ondertekeningsverzoek wordt uitdrukkelijk goedgekeurd door de beheerder. Er komt geen route waarlangs een build onbeheerd wordt ondertekend en verstuurd.
- Ondertekende binaire bestanden dragen bestandsmetagegevens met de productnaam en de versie.
- De minisign-handtekening voor updates wordt berekend vóórdat een Authenticode-handtekening wordt aangebracht, zodat beide gelden voor hetzelfde bestand.
Hoe ze gebouwd worden
- De broncode staat in de openbare repository ShiroDoromoto/amenbo onder Apache-2.0. Ze bevat geen gesloten onderdelen.
- Uitgaven worden gebouwd door de release-workflow van GitHub Actions
(
.github/workflows/release.yml) uit de broncode van die repository. Niets dat op de eigen machine van een ontwikkelaar gebouwd is, wordt ooit verspreid.
Team en rollen
amenbo wordt door één persoon onderhouden, die alle onderstaande rollen vervult.
| Rol | Persoon |
|---|---|
| Author (bouwt, vraagt handtekeningen aan) | ShiroDoromoto |
| Reviewer (beoordeelt wijzigingen) | ShiroDoromoto |
| Approver (keurt ondertekeningsverzoeken goed) | ShiroDoromoto |
Iedereen die bij het ondertekenen betrokken is, houdt meervoudige verificatie aan staan, zowel op het ondertekeningsplatform als in de broncoderepository.
Waar uitgaven verspreid worden
Uitgaven worden op precies twee plekken gepubliceerd.
- GitHub Releases: https://github.com/ShiroDoromoto/amenbo/releases
- De pagina Beginnen op deze site, die naar die uitgaven verwijst.
Privacy
Bij het ondertekenen worden geen gebruikersgegevens verzameld. amenbo heeft geen centrale server en je gegevens verlaten je machine nooit; zie Privacy voor de details.