InfraFenceInfraFence

Live Security Operations

Começar

Verificar uma versão

Confira se um binário, uma imagem de contêiner ou um chart Helm do agente InfraFence é a versão oficial assinada: checksums SHA-256, assinaturas Cosign, proveniência de build do GitHub e a assinatura GPG do chart.

Última atualização:

Cada versão é compilada pelo GitHub Actions a partir do repositório público. Cada binário é publicado com um checksum SHA-256 e uma assinatura Cosign, a imagem de contêiner é assinada por digest e o chart Helm é assinado com uma chave GPG separada. O próprio agente recusa qualquer atualização cujo checksum ou assinatura não seja verificado.

Arquivos da versão

Arquivo O quê
infrafence-agent-linux-amd64, infrafence-agent-linux-arm64 Os binários estáticos.
infrafence-agent-linux-amd64-k8s, infrafence-agent-linux-arm64-k8s Os mesmos, com suporte a Kubernetes.
<binary>.sha256, <binary>.sig O checksum e a assinatura Cosign de cada binário.
checksums.txt, checksums.txt.sig Todos os checksums, assinados.
install.sh O instalador.
waf-catalog.json Os padrões integrados do firewall web.

Checksum

bash
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/checksums.txt
sha256sum /usr/local/bin/infrafence-agent

Use a versão que corresponde à instalada (infrafence-agent version a mostra a partir da 1.0.34, infrafence-agent check em qualquer versão): substitua latest/download por download/v<version>.

Assinatura Cosign

bash
cosign verify-blob \
  --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub \
  --signature https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig \
  /usr/local/bin/infrafence-agent

Sem o Cosign, a mesma verificação com OpenSSL (a assinatura é uma assinatura ECDSA P-256 codificada em base64):

bash
curl -sLO https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub
curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig | base64 -d > agent.sig.der
openssl dgst -sha256 -verify cosign.pub -signature agent.sig.der /usr/local/bin/infrafence-agent

Proveniência de build

bash
gh attestation verify infrafence-agent-linux-amd64 --repo infrafence/infrafence-agent

Imagem de contêiner

A imagem ghcr.io/infrafence/infrafence-agent é assinada com a mesma chave, por digest:

bash
cosign verify --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub ghcr.io/infrafence/infrafence-agent:latest

Chart Helm

O chart é assinado com uma chave GPG dedicada, separada da chave Cosign:

bash
curl -sL https://raw.githubusercontent.com/infrafence/infrafence-agent/main/infrafence-helm-signing-key.asc | gpg --import
helm verify infrafence-agent-<version>.tgz