Artifactory 和 ECDSA 签名密钥

Question

我正在尝试将 ECDSA 签名密钥上传到 Artifactory Cloud，但在找到任何可以帮助我找出我做错了什么的文档方面成功率为零。有人有线索、面包屑或工作框架吗？

我尝试使用 openssl 和 ssh-keygen 创建密钥，并将它们导出为多种格式。在第一次使用密码保护的密钥失败后，我测试了各种迭代，但没有成功。例如，

 openssl ecparam -name prime256v1 -genkey -noout -out ecdsa.private
 openssl ec -in ecdsa.private  -pubout -out ecdsa.public

从 UI 中，对 API

api/v1/ui/security/keyPairs/verify

的调用始终失败。我提取了 OSS 代码，希望能获得一些见解，但由于它不包括密钥签名功能，所以我运气不佳。有人做过吗？

Answer 1

嗯——我想通了。 Artifactory 需要使用 openssl 创建的 PEM 编码的 RSA 签名密钥。但经过一番挖掘，我发现 ECDSA 密钥是通过验证 GPG 密钥的相同函数来验证的：

“公共类 org.artifactory.addon.common.keys.EcdsaKeyPairVerifier 扩展 org.artifactory.addon.common.keys.GpgKeyPairVerifier”

这整个旅程与 npm 存储库和转向 ECDSA 签名有关 https://docs.npmjs.com/verifying-registry-signatures Artifactory 似乎不支持

registry-host.tld/-/npm/v1/keys

端点，所以我不确定这一点无论如何，这是一个功能特性。