Verificación de la firma de paquete

La firma de paquetes es un método mediante el que los paquetes NuGet demuestran que provienen de fuentes de confianza. Un paquete se firma usando un certificado para validar la identidad de un firmante.Cuando la implementación se configura para comprobar la Verificación de la firma de paquete, UiPath la valida contra la información disponible en el archivo NuGet.config para encontrar el certificado solicitado y asegurarse de que los paquetes consumidos provienen de un autor o repositorio permitidos.

Para una descripción en detalle de cómo funciona la Verificación de la firma de paquete, asegúrate de leer los detalles de esta sección de la guía de Microsoft sobre el archivo NuGet.config.

Configuración de Verificación de la firma de paquete

Modos de validación

• accept: permite instalar paquetes no firmados.
• require: para que se instale un paquete, sus detalles de firma deben coincidir con los de la sección trustedSigners de NuGet.config.

Aplicar el uso de paquetes firmados

Para aplicar el uso de paquetes firmados, el parámetro signatureValidationMode del archivo Nuget.config debe establecerse en require. El archivo está ubicado en %ProgramFiles%\UiPath\Studio. Puedes hacerlo de dos formas:

• Durante la instalación, instalando desde la línea de comandos con la opción ENFORCE_SIGNED_EXECUTION=1.

  Por ejemplo, el comando siguiente instala Studio, un UiPath Robot como servicio de Windows, y aplica el uso de paquetes firmados en tu entorno de UiPath:

  UiPathStudio.msi ADDLOCAL=DesktopFeature,Studio,Robot,RegisterService ENFORCE_SIGNED_EXECUTION=1

• Después de la instalación, editando el archivo NuGet.config.

  Si estás configurando el parámetro después de la instalación, los cambios tienen efecto después de que:

  1. Reinicies el servicio de UiPath Robot.
  2. Elimines todos los paquetes .NuGet existentes de %ProgramFiles%\UiPath\Studio\Packages y %userprofile%\.nuget\packages.
  3. Reinicies Studio/Assistant.

Añadir fuentes de confianza

Para descargar, instalar y ejecutar paquetes firmados con un certificado determinado, añade el certificado necesario como fuente de confianza.

Para ello, modifica el archivo NuGet.config en la carpeta de instalación, en la sección <trustedSigners>.

Nota: en este documento encontrará más información sobre cómo añadir o eliminar fuentes de actividades.

Añadir UiPath como firmante de confianza

Abre el archivo NuGet.config desde la carpeta de instalación y añade los siguientes valores:

<config>
     <add key="signatureValidationMode" value="require" />
</config>
<trustedSigners>
   <author name="UiPath">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false"/>
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </author>
   <repository name="UiPathRepository" serviceIndex="https://gallery.uipath.com/api/v3/index.json">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </repository>
</trustedSigners>

Añadir un autor de confianza

Para añadir un autor de confianza, debes abrir el archivo NuGet.config ubicado en %ProgramFiles%\UiPath\Studio\NuGet.config. A continuación, proporciona el certificatefingerprint y hashAlgorithm según el ejemplo anterior. Consulta esta página para obtener más información sobre la huella del certificado.

Añadir un repositorio de confianza

Añadir un repositorio de confianza se hace más o menos igual que añadir un autor, con la diferencia de que el serviceIndex también debe ser añadido.

A continuación se muestra un ejemplo de un repositorio de confianza añadido al archivo NuGet.config:

<trustedSigners>    
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
</repository>
</trustedSigners>

Añadir propietarios de confianza

Un repositorio puede tener varios paquetes firmados por un autor. En este caso, se puede utilizar la etiqueta <owners> para instalar los paquetes firmados por los autores de confianza.

Agrega los autores de confianza entre las etiquetas <owners>, como en el siguiente ejemplo:

<trustedSigners>
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
<owners>Author1;Author2</owners> 
</repository>
</trustedSigners>

Comportamiento de v2021.2

Comenzando con la versión v2021.2 los siguientes ajustes de Verificación de la firma de paquete ya no se rellenan en el archivo Nuget.config en la instalación:

• El parámetro signatureValidationMode ya no se rellena en el archivo Nuget.config durante la instalación
• UiPath ya no se rellena en el archivo Nuget.config en la instalación ni como repositorio ni como autor en la trustedSignersetiqueta.

Impacto:

• Si se utiliza la Verificación de la firma de paquete, todos los firmantes de confianza, incluyendo UiPath, deben añadirse manualmente en el archivo NuGet.config.
• Si no se utiliza la Verificación de la firma de paquete, la etiqueta trustedSigners no debe estar presente en el archivo NuGet.config.
• Si se utiliza la fuente NuGet.org, debe añadirse tanto para el modo aceptar como para el requerir, ya que NuGet anuncia todo el repositorio como firmado.

Para resolver lo anterior, deberás añadir UiPath como un firmante de confianza.