ファイル署名：署名と検証

検証 では、ダウンロードしたリリース、バックアップ、文書を署名と照合します。ファイルをドロップし、署名 を貼り付けるか 署名ファイルを読み込む を使い、公開鍵 を指定します。形式は自動で判別されます：

• OpenSSH 署名（ssh-keygen -Y sign、Git のコミットやタグにも使用）：鍵には .pub ファイル、authorized_keys の行、allowed_signers ファイルを使えます。一致した行から署名者が分かり、その namespaces= 制限も守られます。名前空間 は署名時と同じ値（通常は file）である必要があります。鍵がなくても、署名に含まれる鍵で照合し、そのフィンガープリントを表示します。
• minisign .minisig（事前ハッシュ BLAKE2b と旧式）：鍵 ID と信頼済みコメントを検証するため、偽造されたコメントも検出されます。
• openssl dgst -sign や openssl pkeyutl -rawin による 生の署名：バイナリ、base64、hex。ECDSA は DER または r‖s、RSA は PKCS#1 v1.5 または PSS、SHA-256/384/512。鍵は PEM（SPKI または PKCS#1）、X.509 証明書、OpenSSH の行、JWK を使えます。

署名 では 秘密鍵（OpenSSH、PEM（PKCS#8、暗号化 PKCS#8、EC、RSA）、JWK）で署名を作成します。暗号化された鍵には パスフレーズ を入力します。ssh-keygen -Y verify で読める SSH 署名（ssh-keygen -Y） か、ハッシュ・RSA パディング・ECDSA エンコード を指定する 生の署名（OpenSSL） を選べます。結果には署名、鍵のフィンガープリント、公開鍵、ssh-keygen または openssl でそのまま検証できるコマンドが表示されます。

リリースのダウンロードを確認：tool-1.4.tar.gz をドロップし、tool-1.4.tar.gz.sig を読み込み、プロジェクトの allowed_signers を貼り付けると、署名は有効です と署名者 [email protected] が表示されます。

minisign：アーカイブをドロップし、その .minisig を読み込んで、プロジェクトページの RW… 公開鍵を貼り付けます。ファイル名とタイムスタンプを含む信頼済みコメントが表示されます。

OpenSSL：openssl dgst -sha256 -sign key.pem -out data.sig data.bin で作った署名を public.pem で検証します。ハッシュとパディングは自動で判別されます。

同僚のために署名：自分の id_ed25519 を読み込み、SSH 署名（ssh-keygen -Y） と名前空間 file のまま ファイルに署名 をクリックし、.sig を allowed_signers の行と一緒に送ります。