Metro node : Procédure de validation de la signature de code pour le nœud Metro

Comment valider la signature dans l’environnement du client.

Pour une version donnée de Metro Node, six fichiers sont utilisés pour valider l’intégrité et l’authenticité des packages logiciels.
 

• Deux fichiers de hachage contenant chacun une liste de packages appartenant à la version et leurs hachages au format sha256 ou md5. En voici un exemple : VPlex-7.0.1.02.00.01-sha256-checksums.txt
• Deux fichiers de signature qui contiennent chacun une signature cryptographique du fichier de hachage correspondant et le certificat d’authenticité signé par la clé privée de Dell. Ces fichiers portent l’extension « .sign ». Par exemple, VPlex-7.0.1.02.00.01-sha256-checksums.txt.sign.
• Script permettant de vérifier la signature et l’authenticité de la clé publique. Ce fichier s’appelle « vplex_check_signature ».
• Fichier de chaîne de certificats, nommé « css-cert.pem », utilisé pour valider le certificat. 
• Fichier CRL récupéré sur le Web
• Fichier CA racine ajouté à la chaîne par le script vplex_check_signature.

Suivez les étapes ci-dessous pour effectuer la validation du signe de code :
 

1. Procurez-vous les fichiers d’autorité de certification racine et CRL utilisés pour valider le certificat qui a signé le code. Si vous avez configuré DNS sur votre Metro Node, effectuez cette étape sur le système lui-même. Sinon, collectez l’autorité de certification racine et la liste de révocation de certificats sur un autre système et copiez-les sur Metro Node.

$ curl https://web.entrust.com/root-certificates/entrust_g2_ca.cer --output entrust_g2_ca.cer
$ curl http://crl.entrust.net/evcs2.crl --output evcs2.crl

2. Vérifiez la validité du script « vplex_check_signature ». Ses hachages sont les suivants :

• MD5 :     A06C0093599411BE3A81C70B65F3AA68 vplex_check_signature
• SHA1 :    B1611F6BB81EFE687E21963A020FC30F1FE3787C vplex_check_signature
• SHA256 :  0a83dc67dbe2d6ef2872c833548d8c17f8ff3590a4039e52ed3bed1b79538d65 vplex_check_signature

3. Une fois que les fichiers d’autorité de certification racine et CRL sont téléchargés sur la même machine que les trois fichiers décrits au début de cet article, et que l’intégrité du script « vplex_check_signature » est vérifiée, exécutez le script pour vérifier les signatures de code.

$ ./vplex_check_signature VPlex-<release>-md5-checksums.txt VPlex-<release>-md5-checksums.txt.sign css-cert.pem evcs2.crl entrust_g2_ca.cer
Verified

$ ./vplex_check_signature VPlex-<release>-sha256-checksums.txt VPlex-<release>-sha256-checksums.txt.sign css-cert.pem evcs2.crl entrust_g2_ca.cer
Verified

4. Enfin, après avoir vérifié que les fichiers de hachage n’ont pas été altérés, vous pouvez vérifier que les packages individuels n’ont pas été modifiés avec le script « vplex_check_hashes ». Les hachages de ce script sont les suivants :

• MD5 :     5e00e8ba9e1d678c4cfe44960508239c vplex_check_hashes
• SHA1 :    64d09eea2af149efc21d458ce5754bf2eb48b3e9 vplex_check_hashes
• SHA256 : 438d38501dc6947f5f125c1bd74d3caa67a5540f4763c66242b6eb03d7f87d76 vplex_check_hashes

$ ./vplex_check_hashes VPlex-<release>-md5-checksums.txt
3b59c2415a29e23e526749943340faa6  VPlex-<release>-management-server-package.tar: Verified
952c9b3b89a6ac701fcb3f0a6ab64b75  VPlex-<release>-director-field-disk-image.tar: Verified
bbdf103f82cddedc80851e3edaf76707  VPlex-<release>-cluster-witness-server.vhd: Verified
c64c8289de5b05074a773a28f0a0d6e9  VPlex-<release>-cluster-witness-server.ova: Verified
8005c0fb66abb95d4e2565b546d96157  VPlex-<release>-manifest.xml: Verified
c70aba3e40f0a1aee4ab65bad62fc036  VPlex-<release>-management-server.iso: Verified
1069e4fdeeb77f41ef497968490956c2  VPlex-<release>-director-firmware-package.tar: Verified
4740964a969acb1502e72752a9dbd223  VPlex-<release>-management-server-field-disk-image.tar: Verified
0cf31f1103f498ce74311979d7972b17  VPlex-<release>.zip: Verified
$ ./vplex_check_hashes VPlex-<release>-sha256-checksums.txt
3b59c2415a29e23e526749943340faa6  VPlex-<release>-management-server-package.tar: Verified
952c9b3b89a6ac701fcb3f0a6ab64b75  VPlex-<release>-director-field-disk-image.tar: Verified
bbdf103f82cddedc80851e3edaf76707  VPlex-<release>-cluster-witness-server.vhd: Verified
c64c8289de5b05074a773a28f0a0d6e9  VPlex-<release>-cluster-witness-server.ova: Verified
8005c0fb66abb95d4e2565b546d96157  VPlex-<release>-manifest.xml: Verified
c70aba3e40f0a1aee4ab65bad62fc036  VPlex-<release>-management-server.iso: Verified
1069e4fdeeb77f41ef497968490956c2  VPlex-<release>-director-firmware-package.tar: Verified
4740964a969acb1502e72752a9dbd223  VPlex-<release>-management-server-field-disk-image.tar: Verified
0cf31f1103f498ce74311979d7972b17  VPlex-<release>.zip: Verified

Si vous recevez « Verified » en sortie pour toutes les commandes ci-dessus, l’authenticité de vos packages de version est vérifiée.