签名验证工具使用指南与修订说明.pdfVIP

目录

1背景1

2原理介绍1

3使用方法介绍1

3.1环境要求1

3.2使用方法1

3.3对工具本身的校验1

3.4签名验证3

4非Window操作系统下的处理5

5参考5

文件签名验证工具使用指导

：

签名、验证、工具

摘要：

本文档描述了文件签名验证工具FileIntergrityVerify.exe的使用方法。

缩略语英文全名中文解释

：

1背景

为了保证从公司研发发布的软件产品传递到一线（或者客户）过程中的完整性，要求研

发版本发布时，需要对相关的软件/软件包做完整性处理，一线（或者客户）获取到后可以

对这些软件/软件包做完整性校验，确保软件/软件包在传递过程中没有被篡改过。

2原理介绍

使用文件HASH值生成工具FileIntergrityHASH.exe对需要做完整性校验的软件/软

件包生成HASH值。

FileIntergrityHASH.exe内嵌了一个公钥，每次生成HASH（SHA-256）值时，工具会

随机生成一个对称密钥，采用AES-128-CBC算法对本批次的HASH值做加密，并使用内

嵌的公钥对该对称密钥做加密，加密数据都保存到文件。

把该文件发送给企业UCC安全能力，由安全能力对这些数据进行，并

用私钥对HASH值做签名。签名的结果是对每一个需要做签名的文件生成一个签名文件。

签名文件的文件名为：xxxx.xxx.sign，其中xxxx.xxx为源文件（需要做签名的文件）的文

件名。

将签名文件拷贝到和源文件（需要做签名的文件）相同的目录下，使用文件签名工具

FileIntergrityVerify.exe最签名做验证，验证通过表示文件在传递过程中没有被篡改。

3使用方法介绍

3.1环境要求

该工具只能在WindowsVista、Windows2008Server以上版本才能运行，否则运行报

错。

该工具需要libeay32.dll支持，该DLL随本工具软件一起打包。

3.2使用方法

该工具主要是给一线（或者客户）对文件的签名做验证使用的。

同时也需要给研发发布时对生成的签名文件做验证（生成的签名可以验证通过）使

用的。

3.3对工具本身的校验

右击FileIntergrityVerify文件图标，在弹出菜单中选择“属性”菜单项：

选择“数字签名”属性页，查看是否是由做的签名，并点击“详细信息”按钮，查

看数字签名是否正常：

点击“查看”按钮，查看是否正常（有可能会是过期了，这是正常的，只

要签名是在有效期内签署的就可以）。

如果不是签名的，或者签名异常，表明签名工具本身存在被篡改了的风险，因此就

不能使用该工具做签名，此时需要从企业UCC安全能力重新获取争取的版本。

3.4签名验证

首先，确保签名文件（.sign文件）和源文件（需要做签名的文件）都放在同一目录下。

双击FileIntergrityVerify文件图标：

勾选需要做签名验证的文件：

点击Verify按钮，如果成功，不会弹出提示界面。查看验证结果：

备注：一次最多对10000个文件做签名校验。

4非Window操作系统下的处理

如果需要做签名验证的文件不是Windows下的文件，则需要使用文件传输工具（如：

FileZilla等）将文件传输到Windows系统下，再使用该工具验证。

5参考

《文件HASH值生成工具使用指导.docx》