InfraFenceInfraFence

Live Security Operations

Inizia

Verificare una release

Verifica che binario, immagine container o chart Helm dell'agente InfraFence siano la release ufficiale firmata: checksum SHA-256, firme Cosign, provenance e firma GPG.

Ultimo aggiornamento:

Ogni release viene compilata da GitHub Actions a partire dal repository pubblico. Ogni binario è pubblicato con un checksum SHA-256 e una firma Cosign, l'immagine container è firmata per digest e il chart Helm è firmato con una chiave GPG separata. L'agente stesso rifiuta qualsiasi aggiornamento il cui checksum o la cui firma non risultino validi.

File della release

File Cosa contiene
infrafence-agent-linux-amd64, infrafence-agent-linux-arm64 I binari statici.
infrafence-agent-linux-amd64-k8s, infrafence-agent-linux-arm64-k8s Gli stessi, con il supporto per Kubernetes.
<binary>.sha256, <binary>.sig Il checksum e la firma Cosign di ciascun binario.
checksums.txt, checksums.txt.sig Tutti i checksum, firmati.
install.sh L'installer.
waf-catalog.json I pattern integrati del web firewall.

Checksum

bash
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/checksums.txt
sha256sum /usr/local/bin/infrafence-agent

Usa la release che corrisponde alla versione installata (la mostra infrafence-agent version dalla 1.0.34, infrafence-agent check su qualsiasi versione): sostituisci latest/download con download/v<version>.

Firma Cosign

bash
cosign verify-blob \
  --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub \
  --signature https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig \
  /usr/local/bin/infrafence-agent

Senza Cosign, la stessa verifica con OpenSSL (la firma è una firma ECDSA P-256 codificata in base64):

bash
curl -sLO https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig | base64 -d > agent.sig.der
openssl dgst -sha256 -verify cosign.pub -signature agent.sig.der /usr/local/bin/infrafence-agent

Build provenance

bash
gh attestation verify infrafence-agent-linux-amd64 --repo infrafence/infrafence-agent

Immagine container

L'immagine ghcr.io/infrafence/infrafence-agent è firmata con la stessa chiave, per digest:

bash
cosign verify --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub ghcr.io/infrafence/infrafence-agent:latest

Chart Helm

Il chart è firmato con una chiave GPG dedicata, separata dalla chiave Cosign:

bash
curl -sL https://raw.githubusercontent.com/infrafence/infrafence-agent/main/infrafence-helm-signing-key.asc | gpg --import
helm verify infrafence-agent-<version>.tgz