Verificar versiones

Cada versión oficial de Gately incluye firmas y procedencia, para que puedas confirmar que los archivos que descargaste los compiló GitHub Actions de este repositorio y que nadie los ha manipulado. Todas las firmas usan la firma sin claves (keyless) de Sigstore, así que no hay ninguna clave privada que proteger.

Archivos de binarios

La página de la versión ofrece checksums.txt (SHA-256 de cada archivo), checksums.txt.sigstore.json (la firma del archivo de sumas de comprobación) y un SBOM.

1. Verifica el SHA-256 del archivo:

sha256sum -c checksums.txt --ignore-missing

2. Verifica la firma de checksums.txt con cosign. La identidad de firma debe ser el workflow de publicación de este repositorio:

cosign verify-blob checksums.txt \
  --bundle checksums.txt.sigstore.json \
  --certificate-identity-regexp '^https://github.com/wangwanjie/gately/\.github/workflows/release\.yml@refs/tags/v' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

3. También puedes verificar la procedencia de compilación de un archivo concreto con la CLI de GitHub:

gh attestation verify gately_v1.0.0_linux_amd64.tar.gz --repo wangwanjie/gately

Imagen de Docker

cosign verify ghcr.io/wangwanjie/gately:latest \
  --certificate-identity-regexp '^https://github.com/wangwanjie/gately/\.github/workflows/release\.yml@refs/tags/v' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

El registro también guarda un SBOM y una atestación de procedencia para la imagen. Inspecciona el SBOM con:

docker buildx imagetools inspect ghcr.io/wangwanjie/gately:latest --format '{{ json .SBOM }}'

SBOM

gately_<version>_sbom.spdx.json de la versión está en formato SPDX. Enumera todos los módulos de Go y las dependencias del frontend, y se puede pasar a grype, trivy y escáneres similares.