Política de assinatura de código
Quem assina as publicações do amenbo, como elas são compiladas e onde são distribuídas.
Esta página existe para que quem receber uma publicação do amenbo possa saber se ela veio mesmo de nós. Ela diz o que é assinado, como é compilado, quem aprova uma assinatura e onde os binários são publicados.
O que você já pode verificar
Duas checagens valem para as publicações em todas as plataformas.
- Atestados de compilação do GitHub — eles registram qual repositório, qual commit e qual fluxo
de trabalho produziram um artefato. Qualquer pessoa pode conferir com
gh attestation verify. - Assinaturas minisign para as atualizações — quando o app se atualiza sozinho, ele verifica a assinatura do que baixou.
Os artefatos
| Artefato | Conteúdo |
|---|---|
amenbo-app-windows-x64-setup.exe | Instalador do app gráfico (NSIS). Ele embute a CLI e a coloca no PATH |
amenbo-windows-amd64.exe | O binário avulso da CLI |
Assinatura Authenticode (ainda não em vigor)
Os artefatos de Windows hoje não levam assinatura Authenticode. Quando a assinatura for adotada, ela vai funcionar nos termos abaixo.
- Só artefatos compilados pela CI são enviados para assinatura. Nada compilado na máquina de quem desenvolve é assinado.
- Cada pedido de assinatura é aprovado explicitamente por quem mantém o projeto. Não vai existir caminho em que uma compilação seja assinada e publicada sem acompanhamento.
- Binários assinados carregam atributos de metadados de arquivo com o nome do produto e a versão.
- A assinatura minisign para as atualizações é calculada antes de a assinatura Authenticode ser aplicada, então as duas valem sobre o mesmo arquivo.
Como são compilados
- O código-fonte está no repositório público ShiroDoromoto/amenbo sob Apache-2.0. Ele não contém componentes proprietários.
- As publicações são compiladas pelo fluxo de trabalho de publicação do GitHub Actions
(
.github/workflows/release.yml) a partir do código daquele repositório. Nada compilado na máquina de quem desenvolve é distribuído.
Time e papéis
O amenbo é mantido por uma pessoa, que ocupa todos os papéis abaixo.
| Papel | Pessoa |
|---|---|
| Autor (compila, pede assinaturas) | ShiroDoromoto |
| Revisor (revisa as mudanças) | ShiroDoromoto |
| Aprovador (aprova os pedidos de assinatura) | ShiroDoromoto |
Todo mundo envolvido na assinatura mantém a autenticação multifator ligada tanto na plataforma de assinatura quanto no repositório do código.
Onde as publicações são distribuídas
As publicações saem em exatamente dois lugares.
- GitHub Releases: https://github.com/ShiroDoromoto/amenbo/releases
- A página Começar deste site, que aponta para essas publicações.
Privacidade
A assinatura não coleta dado nenhum de quem usa. O amenbo não tem servidor central e seus dados nunca saem da sua máquina; veja Privacidade para os detalhes.