Chính sách ký mã
Ai ký các bản phát hành của amenbo, chúng được dựng ra sao, và phân phối ở đâu.
Trang này có mặt để bất cứ ai nhận được một bản phát hành amenbo đều biết được nó có thật sự đến từ chúng tôi hay không. Nó nói rõ cái gì được ký, dựng thế nào, ai duyệt một chữ ký, và các tệp nhị phân được công bố ở đâu.
Những gì bạn có thể kiểm chứng ngay hôm nay
Hai phép kiểm áp dụng cho các bản phát hành trên mọi nền tảng.
- Chứng thực dựng của GitHub — chúng ghi lại kho nào, commit nào và quy trình nào đã tạo ra một
tệp sản phẩm. Ai cũng có thể kiểm bằng
gh attestation verify. - Chữ ký minisign cho bản cập nhật — khi ứng dụng tự cập nhật, nó kiểm chữ ký của thứ vừa tải về.
Các tệp sản phẩm
| Tệp sản phẩm | Nội dung |
|---|---|
amenbo-app-windows-x64-setup.exe | Trình cài đặt ứng dụng giao diện (NSIS). Nó kèm sẵn CLI và đưa vào PATH |
amenbo-windows-amd64.exe | Tệp nhị phân CLI chạy độc lập |
Chữ ký Authenticode (chưa áp dụng)
Các tệp sản phẩm cho Windows hiện chưa mang chữ ký Authenticode. Khi việc ký được đưa vào, nó sẽ chạy theo các điều kiện sau.
- Chỉ những tệp do CI dựng mới được gửi đi ký. Không ký bất cứ thứ gì dựng trên máy của người phát triển.
- Mỗi yêu cầu ký đều được người bảo trì duyệt một cách rõ ràng. Sẽ không có đường nào để một bản dựng được ký và phát đi mà không ai trông.
- Tệp nhị phân đã ký mang thuộc tính siêu dữ liệu tệp gồm tên sản phẩm và số phiên bản.
- Chữ ký minisign cho bản cập nhật được tính trước khi đóng chữ ký Authenticode, nên cả hai cùng đúng trên một tệp.
Chúng được dựng thế nào
- Mã nguồn nằm ở kho công khai ShiroDoromoto/amenbo theo giấy phép Apache-2.0. Trong đó không có thành phần độc quyền nào.
- Các bản phát hành do quy trình phát hành của GitHub Actions
(
.github/workflows/release.yml) dựng từ mã nguồn của kho đó. Không bao giờ phân phối thứ gì dựng trên máy của người phát triển.
Nhóm và vai trò
amenbo do một người bảo trì, và người đó giữ tất cả các vai trò dưới đây.
| Vai trò | Người |
|---|---|
| Author (dựng, yêu cầu ký) | ShiroDoromoto |
| Reviewer (soát các thay đổi) | ShiroDoromoto |
| Approver (duyệt yêu cầu ký) | ShiroDoromoto |
Mọi người dính đến việc ký đều bật xác thực nhiều lớp, cả trên nền tảng ký lẫn trên kho mã nguồn.
Các bản phát hành được phân phối ở đâu
Bản phát hành được công bố đúng ở hai nơi.
- GitHub Releases: https://github.com/ShiroDoromoto/amenbo/releases
- Trang Bắt đầu trên trang này, nơi dẫn tới các bản phát hành đó.
Quyền riêng tư
Việc ký không thu thập dữ liệu nào của người dùng. amenbo không có máy chủ trung tâm và dữ liệu của bạn không bao giờ rời khỏi máy bạn; chi tiết ở Quyền riêng tư.