Consulta el código fuente de Sentinel antes de instalarlo
Sentinel se ejecuta dentro de tu red y lee tus certificados. Su código fuente completo se publica bajo la licencia Apache-2.0 en un archivo firmado que puedes descargar, verificar y compilar sin una cuenta.
Versión actual
Código fuente en GitHub Versiones en GitHub Descargar el archivo de código fuente Firma separada (.asc)El archivo corresponde a la versión actual. Verifica su firma antes de leer o compilar el contenido.
Verifica la firma del archivo
El archivo se firma con la misma clave que el repositorio APT de Nocert. Si no puedes verificar la firma, no utilices el archivo hasta aclarar el motivo.
Huella digital de la clave de firma
D5EF CB2E 291B 386D 5161 8CB3 E1DF FDD9 DF7B BB21
La línea Primary key fingerprint que muestra gpg --verify debe coincidir exactamente con este valor. Si no coincide, detente y avísanos.
Esta huella se publica aquí, en un servidor distinto al del repositorio. Así puedes contrastar la clave obtenida de repo.nocert.io con una referencia independiente si ese servidor se ve comprometido.
curl -fsSL -O https://repo.nocert.io/src/nocert-sentinel-src.tar.gz
curl -fsSL -O https://repo.nocert.io/src/nocert-sentinel-src.tar.gz.asc
curl -fsSL https://repo.nocert.io/apt/gpg.key | gpg --import
gpg --verify nocert-sentinel-src.tar.gz.asc nocert-sentinel-src.tar.gzCompila el mismo binario que distribuimos
La compilación es reproducible: compilar este archivo genera un binario idéntico, byte por byte, al incluido en el paquete .deb publicado. Si coinciden las sumas SHA-256, el código fuente publicado produce el binario del paquete. Puedes comparar por separado ese binario con el ejecutable que despliegues.
Las dependencias están incluidas en el archivo. Solo necesitas las herramientas de Go indicadas para compilarlo, sin acceso a la red ni a un proxy de módulos.
tar xzf nocert-sentinel-src.tar.gz
cd nocert-sentinel-<version>
# README.md indica el comando exacto de compilación y las herramientas de Go necesarias.
sha256sum nocert-sentinel
# Compara el resultado con el binario incluido en el paquete.
dpkg-deb -x nocert-sentinel_<version>_linux_amd64.deb pkg
sha256sum pkg/usr/bin/nocert-sentinelContenido del archivo
El código publicado incluye todas las dependencias y las pruebas del propio agente.
- cmd/ e internal/
- El agente y sus pruebas unitarias.
- vendor/
- Todas las dependencias, incluido su código fuente, para compilar sin acceso a la red ni a un proxy de módulos.
- THIRD_PARTY_NOTICES y LICENSE
- Licencias de los componentes enlazados en el binario y licencia Apache-2.0 de Sentinel.
- README.md
- Instrucciones de verificación y comando exacto de compilación para reproducir el binario distribuido.
Qué contiene el archivo
El archivo contiene el agente Sentinel, que se ejecuta en tu infraestructura y lee tus certificados. El backend de Nocert, la aplicación web y el analizador de certificados son propietarios y no se publican.
El código fuente de Sentinel está disponible en GitHub. Envía tus observaciones y preguntas desde la página de contacto. Para notificar una vulnerabilidad, utiliza los datos de contacto de security.txt, conforme a la RFC 9116.
Los paquetes se firman con la misma clave
Sentinel se instala desde el repositorio APT para Debian y Ubuntu de repo.nocert.io, firmado con la clave indicada arriba. La página de seguridad explica qué datos envía el agente, cuáles permanecen en tu infraestructura y cómo se autentica ante Nocert.