bizboost 6.4.13 → 6.6.8

package/verify-release.sh

@@ -0,0 +1,154 @@
+#!/usr/bin/env bash
+# bluelamp の公開 tarball が、当社 GitHub Actions が出した正規ビルドであることを
+# 第三者が検証するスクリプト。板 #507 ①。手順の正本: docs/npm-release-verification.md
+#
+# 使い方:   ./verify-release.sh <version>        例: ./verify-release.sh 6.6.5
+#           インストール済みなら ./node_modules/bluelamp/verify-release.sh <version>
+#
+# ⚠️ このスクリプトは npm パッケージに同梱されているが、**信頼の起点ではない**。
+#    改ざんされた tarball は改ざんされた検証器を同梱できる（検証器と検証対象が同じ袋に入って
+#    いる以上、これは原理的に避けられない）。これは繰り返し検証の利便のための道具である。
+#    🔑 信頼の起点は「当社が配る物を一切実行しない」次の 2 手順である:
+#      1. curl で tarball を取り、自分で sha256 を出す
+#      2. その sha256 で公開透明性ログ(Rekor)を引き、人が目で記録を読む
+#    詳細: docs/npm-release-verification.md §5
+#
+# 依存は curl / openssl / node の 3 つだけ（node は bluelamp 利用者なら必ず持つ）。
+# cosign のインストールは不要。当社の認証情報も GitHub アカウントも不要。
+#
+# 🚨 このスクリプトはフォールバックしない。判定材料が欠けた場合も「通す」のではなく赤で落とす
+#    （測定不能は赤に倒す）。exit 0 以外はすべて「正規ビルドと確認できなかった」を意味する。
+#      exit 0 = 検証通過 / exit 1 = 検証失敗（改ざん・署名なし・身元不一致）/ exit 2 = 測定不能（前提不足）
+
+set -euo pipefail
+
+PKG="${BLUELAMP_PKG:-bluelamp}"
+# 署名者としてこれ以外を受け付けない（ここが緩むと「誰かが署名した」だけの検証に落ちる）
+EXPECT_REPO="${BLUELAMP_EXPECT_REPO:-mikoto-co-jp/mikoto-monorepo}"
+EXPECT_WORKFLOW="${BLUELAMP_EXPECT_WORKFLOW:-.github/workflows/publish-npm.yml}"
+EXPECT_ISSUER="${BLUELAMP_EXPECT_ISSUER:-https://token.actions.githubusercontent.com}"
+REKOR="${BLUELAMP_REKOR_URL:-https://rekor.sigstore.dev}"
+FULCIO="${BLUELAMP_FULCIO_URL:-https://fulcio.sigstore.dev}"
+REGISTRY="${BLUELAMP_REGISTRY:-https://registry.npmjs.org}"
+
+VERSION="${1:-}"
+if [ -z "$VERSION" ]; then
+  echo "usage: $0 <version>   (例: $0 6.6.5)" >&2
+  exit 2
+fi
+
+for c in curl openssl node; do
+  command -v "$c" >/dev/null 2>&1 || { echo "FAIL(測定不能): $c が無い" >&2; exit 2; }
+done
+
+WORK="$(mktemp -d)"
+trap 'rm -rf "$WORK"' EXIT
+
+say()  { printf '%s\n' "$*"; }
+fail() { printf 'FAIL: %s\n' "$*" >&2; exit 1; }
+unmeasurable() { printf 'FAIL(測定不能): %s\n' "$*" >&2; exit 2; }
+
+say "== 1. registry から ${PKG}@${VERSION} のメタデータを取得 =="
+curl -sSf "${REGISTRY}/${PKG}/${VERSION}" -o "$WORK/meta.json" \
+  || unmeasurable "${PKG}@${VERSION} を registry から取得できない"
+eval "$(node -e '
+const j=require(process.argv[1]);
+const d=j.dist||{};
+if(!d.tarball||!d.shasum||!d.integrity) { console.log("BAD=1"); process.exit(0); }
+console.log("TARBALL_URL=" + JSON.stringify(d.tarball));
+console.log("EXP_SHA1="    + JSON.stringify(d.shasum));
+console.log("EXP_INTEGRITY=" + JSON.stringify(d.integrity));
+' "$WORK/meta.json")"
+[ "${BAD:-0}" = "1" ] && unmeasurable "registry メタデータに dist.tarball/shasum/integrity が揃っていない"
+say "   tarball: $TARBALL_URL"
+
+say "== 2. tarball を取得し、registry が公示する digest と一致するか =="
+curl -sSfL "$TARBALL_URL" -o "$WORK/pkg.tgz" || unmeasurable "tarball を取得できない"
+GOT_SHA1="$(openssl dgst -sha1 -r "$WORK/pkg.tgz" | cut -d' ' -f1)"
+GOT_SHA512_B64="$(openssl dgst -sha512 -binary "$WORK/pkg.tgz" | openssl base64 -A)"
+[ "$GOT_SHA1" = "$EXP_SHA1" ] || fail "sha1 不一致 (registry=$EXP_SHA1 / 実物=$GOT_SHA1)"
+[ "sha512-$GOT_SHA512_B64" = "$EXP_INTEGRITY" ] || fail "integrity 不一致 (registry=$EXP_INTEGRITY)"
+SHA256="$(openssl dgst -sha256 -r "$WORK/pkg.tgz" | cut -d' ' -f1)"
+say "   OK  sha256=$SHA256"
+
+say "== 3. 公開 Rekor をこの digest で検索（当社ホスティングは登場しない） =="
+curl -sSf -X POST -H 'Content-Type: application/json' \
+  -d "{\"hash\":\"sha256:${SHA256}\"}" "${REKOR}/api/v1/index/retrieve" -o "$WORK/uuids.json" \
+  || unmeasurable "Rekor 検索 API に到達できない"
+UUIDS="$(node -e 'const a=require(process.argv[1]);if(!Array.isArray(a))process.exit(3);console.log(a.join("\n"))' "$WORK/uuids.json")" \
+  || unmeasurable "Rekor の応答を解釈できない"
+[ -n "$UUIDS" ] || fail "この digest に対する署名が公開 Rekor に 1 件も無い（=正規ビルドと確認できない）"
+
+say "== 4. Fulcio の信頼バンドルを取得（証明書チェーンの検証に使う） =="
+curl -sSf "${FULCIO}/api/v2/trustBundle" -o "$WORK/tb.json" || unmeasurable "Fulcio 信頼バンドルを取得できない"
+node -e '
+const fs=require("fs"),{execSync}=require("child_process");
+const j=require(process.argv[1]),W=process.argv[2];
+const certs=[]; for(const c of (j.chains||[])) for(const p of (c.certificates||[])) certs.push(p.trim());
+const root=[],inter=[];
+for(const pem of certs){
+  fs.writeFileSync(W+"/_t.pem",pem+"\n");
+  const s=execSync("openssl x509 -in "+W+"/_t.pem -noout -subject -issuer").toString();
+  (s.match(/subject=(.*)/)[1].trim()===s.match(/issuer=(.*)/)[1].trim()?root:inter).push(pem);
+}
+if(!root.length) process.exit(3);
+fs.writeFileSync(W+"/root.pem",root.join("\n")+"\n");
+fs.writeFileSync(W+"/inter.pem",inter.join("\n")+"\n");
+' "$WORK/tb.json" "$WORK" || unmeasurable "Fulcio 信頼バンドルを分解できない"
+
+say "== 5. 各エントリを検証（1 件でも全条件を満たせば通過） =="
+PASSED=0
+while IFS= read -r UUID; do
+  [ -n "$UUID" ] || continue
+  say "-- entry $UUID"
+  curl -sSf "${REKOR}/api/v1/log/entries/${UUID}" -o "$WORK/entry.json" || { say "   skip: エントリを取得できない"; continue; }
+  # body(base64 JSON) から kind / hash / 署名 / 証明書 / integratedTime を取り出す
+  if ! node -e '
+    const fs=require("fs");const j=require(process.argv[1]),W=process.argv[2],SHA=process.argv[3];
+    const k=Object.keys(j)[0], e=j[k];
+    const b=JSON.parse(Buffer.from(e.body,"base64").toString());
+    if(b.kind!=="hashedrekord") { console.error("   skip: kind="+b.kind); process.exit(3); }
+    if((b.spec.data.hash.value||"").toLowerCase()!==SHA) { console.error("   skip: エントリの hash が対象と違う"); process.exit(3); }
+    fs.writeFileSync(W+"/sig.bin", Buffer.from(b.spec.signature.content,"base64"));
+    fs.writeFileSync(W+"/cert.pem", Buffer.from(b.spec.signature.publicKey.content,"base64").toString());
+    fs.writeFileSync(W+"/at.txt", String(e.integratedTime));
+  ' "$WORK/entry.json" "$WORK" "$SHA256"; then continue; fi
+  AT="$(cat "$WORK/at.txt")"
+
+  # 5-1. 証明書が Fulcio のルートに繋がるか。
+  #      🚨 -attime は必須。Fulcio の証明書は 10 分の短命なので、現在時刻で verify すると必ず期限切れで落ちる。
+  #      署名時点（Rekor が記録した integratedTime）で有効だったかを問う。
+  if ! openssl verify -CAfile "$WORK/root.pem" -untrusted "$WORK/inter.pem" -attime "$AT" "$WORK/cert.pem" >/dev/null 2>&1; then
+    say "   skip: 証明書が Fulcio のルートに繋がらない"; continue
+  fi
+
+  # 5-2. 署名者の身元。ここが緩むと「誰かが署名した」だけの検証になる
+  SAN="$(openssl x509 -in "$WORK/cert.pem" -noout -ext subjectAltName 2>/dev/null | tr -d ' ' | sed -n 's/.*URI:\([^,]*\).*/\1/p' | head -1)"
+  case "$SAN" in
+    "https://github.com/${EXPECT_REPO}/${EXPECT_WORKFLOW}@"*) : ;;
+    *) say "   skip: 署名者が当社ワークフローでない (SAN=${SAN:-なし})"; continue ;;
+  esac
+  if ! openssl x509 -in "$WORK/cert.pem" -noout -text 2>/dev/null | grep -qF "$EXPECT_ISSUER"; then
+    say "   skip: OIDC 発行者が $EXPECT_ISSUER でない"; continue
+  fi
+
+  # 5-3. その証明書の鍵で、tarball のバイト列に対する署名が検証できるか
+  openssl x509 -in "$WORK/cert.pem" -pubkey -noout > "$WORK/cert.pub" 2>/dev/null || { say "   skip: 公開鍵を取り出せない"; continue; }
+  if ! openssl dgst -sha256 -verify "$WORK/cert.pub" -signature "$WORK/sig.bin" "$WORK/pkg.tgz" >/dev/null 2>&1; then
+    say "   skip: 署名が tarball と一致しない"; continue
+  fi
+
+  say ""
+  say "✅ 検証通過: ${PKG}@${VERSION} は当社 GitHub Actions が出した正規ビルドです"
+  say "   tarball sha256 : $SHA256"
+  say "   署名者(SAN)    : $SAN"
+  say "   OIDC 発行者    : $EXPECT_ISSUER"
+  say "   署名時刻       : $(date -u -r "$AT" '+%Y-%m-%dT%H:%M:%SZ' 2>/dev/null || date -u -d "@$AT" '+%Y-%m-%dT%H:%M:%SZ')"
+  say "   透明性ログ     : ${REKOR}/api/v1/log/entries/${UUID}"
+  PASSED=1
+  break
+done <<EOF
+$UUIDS
+EOF
+
+[ "$PASSED" = "1" ] || fail "全条件を満たすエントリが無かった（=正規ビルドと確認できない）"