InfraFenceInfraFence

Live Security Operations

Commencer

Vérifier une version

Vérifier qu'un binaire, une image de conteneur ou un chart Helm de l'agent InfraFence est bien la version officielle signée - sommes SHA-256, signatures Cosign, provenance de build GitHub et signature GPG du chart.

Dernière mise à jour:

Chaque version est construite par GitHub Actions à partir du dépôt public. Chaque binaire est publié avec une somme de contrôle SHA-256 et une signature Cosign, l'image de conteneur est signée par digest, et le chart Helm est signé avec une clé GPG distincte. L'agent lui-même refuse toute mise à jour dont la somme de contrôle ou la signature n'est pas validée.

Fichiers d'une version

Fichier Contenu
infrafence-agent-linux-amd64, infrafence-agent-linux-arm64 Les binaires statiques.
infrafence-agent-linux-amd64-k8s, infrafence-agent-linux-arm64-k8s Les mêmes, avec la prise en charge de Kubernetes.
<binary>.sha256, <binary>.sig La somme de contrôle et la signature Cosign de chaque binaire.
checksums.txt, checksums.txt.sig Toutes les sommes de contrôle, signées.
install.sh L'installateur.
waf-catalog.json Les motifs intégrés du pare-feu web.

Somme de contrôle

bash
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/checksums.txt
sha256sum /usr/local/bin/infrafence-agent

Utilisez la version qui correspond à celle installée (infrafence-agent version l'affiche à partir de la 1.0.34, infrafence-agent check sur toutes les versions) : remplacez latest/download par download/v<version>.

Signature Cosign

bash
cosign verify-blob \
  --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub \
  --signature https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig \
  /usr/local/bin/infrafence-agent

Sans Cosign, la même vérification avec OpenSSL (la signature est une signature ECDSA P-256, encodée en base64) :

bash
curl -sLO https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig | base64 -d > agent.sig.der
openssl dgst -sha256 -verify cosign.pub -signature agent.sig.der /usr/local/bin/infrafence-agent

Provenance de build

bash
gh attestation verify infrafence-agent-linux-amd64 --repo infrafence/infrafence-agent

Image de conteneur

L'image ghcr.io/infrafence/infrafence-agent est signée avec la même clé, par digest :

bash
cosign verify --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub ghcr.io/infrafence/infrafence-agent:latest

Chart Helm

Le chart est signé avec une clé GPG dédiée, distincte de la clé Cosign :

bash
curl -sL https://raw.githubusercontent.com/infrafence/infrafence-agent/main/infrafence-helm-signing-key.asc | gpg --import
helm verify infrafence-agent-<version>.tgz