Ký phần mềm với openSSL

Công ty tôi làm việc muốn tôi triển khai một số chức năng C để tự động ký phần mềm của họ. Sau khi thực hiện một số nghiên cứu, tôi thấy rằng openSSL rất phù hợp để làm như vậy.

Trước khi bắt đầu triển khai trong C, tôi muốn cảm nhận về quy trình công việc bằng cách thực hiện nó trong CLI trước. Nhưng điều đó khiến tôi hơi bối rối, vì tôi không chắc nên sử dụng chứng chỉ ở đâu ở đây.

Đây là các bước mà tôi đã thực hiện:

1. Tạo khóa riêng

$ openssl genrsa -ra privat.pem 2048

2. Trích xuất khóa công khai từ khóa riêng

$ openssl rsa -in privat.pem -outform PEM -pubout -out public.pem

3. Ký tên vào tệp ví dụ bằng khóa riêng

$ openssl dgst -sha256 -sign privat.pem -out sign.sha256 file.txt

4. Xác minh chữ ký bằng khóa công khai

$ openssl dgst -sha256 -xác minh public.pem -signature sign.sha256 file.txt

Đã xác minh là được

Bây giờ tôi sẽ sử dụng chứng chỉ ở đâu để chứng minh rằng phần mềm là của công ty?

Ngoài ra, phần mềm đang vận chuyển dưới dạng bộ chứa ứng dụng cho debian, nơi chúng tôi tạo tiêu đề ứng dụng của riêng mình với siêu dữ liệu như tổng kiểm tra chẳng hạn. Tôi sẽ phải bao gồm cả chữ ký trong tiêu đề này, liệu có nên lưu trữ đầu ra của sign.sha256 ở đó không? Có lẽ trong Base64?