コード署名と文書署名
リリースを実行する前に、その素性を確認できます。Sigstore バンドルと npm の来歴を、それらをビルドしたリポジトリ、ワークフロー、コミットまでさかのぼって検証し、SLSA と in-toto のアテステーションを読み取り、SSH で署名された Git コミットとファイルを allowed_signers と照合し、Windows の実行ファイル、Android の APK、Java アーカイブの署名を解析できます。文書とメディアにも対応しています。何もアップロードせずに PDF 署名（PAdES、LTV）と署名付きメール（S/MIME）を検証し、RFC 3161 のタイムスタンプをデコードし、画像と動画のコンテンツ認証情報（C2PA）を読み取り、鍵が YubiKey 上で生成されたことを証明できます。ファイルと鍵はブラウザーの外に出ません。npm チェッカーは指定したパッケージについて公開レジストリに問い合わせます。また、オプションの 2 回目の Sigstore チェックが当サイトのサーバーに送るのは、バンドルと、ファイルのダイジェストだけです。
12 個のツール
Sigstore バンドル検証ツール
cosign・npm・GitHub アテステーションのバンドル
Sigstore バンドルを、署名対象のファイルと想定する ID に照らして検証します。Fulcio 証明書とその SCT、包含証明とチェックポイントを含む Rekor のログエントリ、署名付きタイムスタンプと RFC 3161 タイムスタンプ、DSSE 署名とメッセージ署名を、cosign verify-blob と同様にオフラインで確認します。
ツールを開くnpm 来歴チェッカー
npm パッケージが実際にビルドされた場所
パッケージとバージョンを入力すると、ブラウザーがレジストリのアテステーションを取得し、このページで検証します。Sigstore で署名された SLSA 来歴とレジストリの公開アテステーションを、tarball をビルドしたリポジトリ、ワークフロー、コミットまでさかのぼって確認します。
ツールを開くin-toto アテステーションビューアー
SLSA 来歴、DSSE、.intoto.jsonl
DSSE エンベロープ、.intoto.jsonl ファイル、Sigstore バンドル、npm のアテステーション一覧を貼り付けると、ステートメントのサブジェクトとプレディケートの内容（SLSA 来歴、検証サマリー、SBOM）を確認できます。署名は、手元の鍵または埋め込まれた証明書で検証します。
ツールを開くSSH 署名検証ツール
ssh-keygen -Y のファイル署名、署名付きのコミットとタグ
ssh-keygen -Y sign で作成した SSHSIG 署名や、SSH キーで署名された Git のコミット・タグを、allowed_signers ファイルに照らして確認します。名前空間、プリンシパル、有効期間、SSH 証明書を ssh-keygen と同じルールで検証します。
ツールを開くAuthenticode インスペクター
Windows の EXE・DLL・SYS ファイルの署名
Windows の実行ファイルをドロップすると、Authenticode イメージハッシュを再計算し、すべての署名を検証します。署名者の証明書とチェーン、ネストされた SHA-1 と SHA-256 の署名、RFC 3161 タイムスタンプと副署名を確認し、署名の後ろに隠されたデータがあれば警告します。
ツールを開くAPK 署名インスペクター
Android APK の署名スキーム v1〜v4
APK（とその .idsig）をドロップすると、apksigner と同じ方法ですべての署名スキームを検証します。v2・v3・v3.1 の署名者とそのコンテンツダイジェスト、SDK の範囲、鍵のローテーションの系譜、v4 のマークルツリー、v1 の JAR 署名を検証し、Android がアプリの識別に使う証明書のフィンガープリントも表示します。
ツールを開くJAR 署名インスペクター
署名付き JAR・WAR・EAR ファイルをエントリ単位で確認
JAR、WAR、EAR をドロップすると、各エントリをマニフェストと、各署名ファイルをマニフェストと、各 PKCS #7 ブロックを対応する署名ファイルと照合し、タイムスタンプと署名者の証明書チェーンも確認します。jarsigner -verify -strict と同じ判定を、エントリごとに表示します。
ツールを開くPDF 署名検証ツール
アップロードせずに PDF の署名を検証
署名済みの PDF をドロップすると、各署名の対象範囲、署名後に文書が変更されたかどうか、誰がいつ署名したかを確認できます。PAdES、CMS、RFC 3161 タイムスタンプ、LTV データはブラウザー内で検証され、ファイルがアップロードされることはありません。
ツールを開くS/MIME 署名検証ツール
署名付きメールをローカルで確認
署名付きメールを貼り付けるか、.eml、.p7m、.p7s ファイルを開いてください。CMS 署名、署名者の証明書、証明書のメールアドレスと From: ヘッダーの一致、証明書チェーンをブラウザー内で確認します。
ツールを開くタイムスタンプトークンインスペクター
RFC 3161 トークンをデコード・検証
タイムスタンプトークン、レスポンス、リクエストを貼り付けると、TSTInfo をデコードし、メッセージインプリントをファイルと、nonce をリクエストと照合したうえで、TSA の署名と証明書チェーンを検証します。処理はすべてブラウザー内で行います。
ツールを開くC2PA コンテンツ認証情報インスペクター
コンテンツ認証情報の読み取りと検証
写真、動画、音声ファイルをドロップすると、そのコンテンツ認証情報を読み取れます。誰が署名したか、どのツールで作成・編集されたか、AI が関与したか、何を素材に作られたか、そして署名後にファイルが変更されたかどうかがわかります。読み取りには C2PA のリファレンス実装を使い、ブラウザー内で行います。
ツールを開くYubiKey アテステーション検証ツール
鍵が YubiKey で生成されたことを証明
YubiKey の PIV アテステーションとデバイスの f9 証明書を貼り付けると、Yubico の CA へのチェーンを検証し、スロット、ファームウェア、シリアル番号、PIN ポリシー、タッチポリシーを読み取ります。証明書を発行する前に、鍵がハードウェアで生成されたものであることを要件にできます。
ツールを開く