InfraFenceInfraFence

Live Security Operations

Empezar

Verificar una versión

Comprueba que un binario, una imagen de contenedor o un chart de Helm del agente de InfraFence es la versión oficial firmada - checksums SHA-256, firmas Cosign, build provenance de GitHub y la firma GPG del chart.

Última actualización:

Cada versión la compila GitHub Actions a partir del repositorio público. Cada binario se publica con un checksum SHA-256 y una firma Cosign, la imagen del contenedor se firma por digest y el chart de Helm se firma con una clave GPG distinta. El propio agente rechaza cualquier actualización cuyo checksum o firma no se verifique.

Archivos de la versión

Archivo Qué es
infrafence-agent-linux-amd64, infrafence-agent-linux-arm64 Los binarios estáticos.
infrafence-agent-linux-amd64-k8s, infrafence-agent-linux-arm64-k8s Los mismos, con soporte para Kubernetes.
<binary>.sha256, <binary>.sig El checksum y la firma Cosign de cada binario.
checksums.txt, checksums.txt.sig Todos los checksums, firmados.
install.sh El instalador.
waf-catalog.json Los patrones integrados del firewall web.

Checksum

bash
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/checksums.txt
sha256sum /usr/local/bin/infrafence-agent

Usa la versión que corresponde a la instalada (infrafence-agent version la muestra desde la 1.0.34, infrafence-agent check en cualquier versión): sustituye latest/download por download/v<version>.

Firma Cosign

bash
cosign verify-blob \
  --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub \
  --signature https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig \
  /usr/local/bin/infrafence-agent

Sin Cosign, la misma comprobación con OpenSSL (la firma es una firma ECDSA P-256 codificada en base64):

bash
curl -sLO https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig | base64 -d > agent.sig.der
openssl dgst -sha256 -verify cosign.pub -signature agent.sig.der /usr/local/bin/infrafence-agent

Build provenance

bash
gh attestation verify infrafence-agent-linux-amd64 --repo infrafence/infrafence-agent

Imagen del contenedor

La imagen ghcr.io/infrafence/infrafence-agent está firmada con la misma clave, por digest:

bash
cosign verify --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub ghcr.io/infrafence/infrafence-agent:latest

Chart de Helm

El chart está firmado con una clave GPG dedicada, distinta de la clave Cosign:

bash
curl -sL https://raw.githubusercontent.com/infrafence/infrafence-agent/main/infrafence-helm-signing-key.asc | gpg --import
helm verify infrafence-agent-<version>.tgz