Vérification de la signature des paquets

Package Signature is a method through which NuGet Packages prove that they come from trusted sources. A package is signed by using a certificate to validate the identity of a signer. When the deployment is set to check the Package Signature Verification, UiPath^® validates against the information available in the NuGet.config file to find the requested certificate in order to ensure consumed packages are coming from an allowed author or repository.

Pour obtenir un aperçu détaillé du fonctionnement de la vérification de la signature des packages, lisez les détails de cette section du guide de Microsoft sur le fichier NuGet.config.

Configuration de la vérification de la signature des paquets

Modes de validation

• accept - Permet d'installer des packages non signés.
• require - Pour qu'un package soit installé, ses détails de signature doivent correspondre à ceux de la section trustedSigners du fichier NuGet.config.

Application de l’utilisation de packages signés

Pour appliquer l’utilisation de packages signés, le paramètre signatureValidationMode du fichier Nuget.config doit être défini require. Le fichier se trouve dans %ProgramFiles%\UiPath\Studio. Vous pouvez le définir de deux façons :

• Lors de l’installation, à l'aide de la ligne de commande avec l’option ENFORCE_SIGNED_EXECUTION=1.

  Par exemple, la commande suivante installe Studio, un robot en tant que service Windows, et applique l'utilisation de packages signés dans votre environnement UiPath :

  UiPathStudio.msi ADDLOCAL=DesktopFeature,Studio,Robot,RegisterService ENFORCE_SIGNED_EXECUTION=1
  

• Après l’installation, en modifiant manuellement le fichier NuGet.config.

  Si vous définissez le paramètre après l’installation, les modifications prendront effet après avoir :

  1. Redémarrez le service de robot UiPath.
  2. supprimé tous les packages .NuGet existants dans %ProgramFiles%\UiPath\Studio\Packages et dans %userprofile%\.nuget\packages.
  3. redémarré Studio/Assistant.

Ajout de sources approuvées

Pour télécharger, installer et exécuter des paquets signés avec un certain certificat, ajoutez le certificat requis en tant que source approuvée.

Pour ce faire, modifiez le fichier NuGet.config dans le dossier d'installation, dans la section <trustedSigners>.

Remarque :

More information on how to add or remove activities feeds can be found in this document.

Adding UiPath^® as a trusted signer

Ouvrez le fichier NuGet.config du dossier d’installation et ajoutez les valeurs suivantes :

<config>
     <add key="signatureValidationMode" value="require" />
</config>
<trustedSigners>
   <author name="UiPath">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false"/>
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
      <certificate fingerprint="A96ADDC7455443CF702A887BC153CF7844038E2E88081D676C57DDD90EC90245" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </author>
   <repository name="UiPathRepository" serviceIndex="https://gallery.uipath.com/api/v3/index.json">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
      <certificate fingerprint="A96ADDC7455443CF702A887BC153CF7844038E2E88081D676C57DDD90EC90245" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </repository>
</trustedSigners>

Ajout d'un auteur approuvé

Pour ajouter un auteur approuvé, vous devez ouvrir le fichier NuGet.config situé à %ProgramFiles%\UiPath\Studio\NuGet.config. Ensuite, fournissez le certificatefingerprint et hashAlgorithm comme dans l'exemple ci-dessus. Pour obtenir plus d'informations sur l'empreinte digitale du certificat, consultez cette page.

Ajout d'un référentiel approuvé

L'ajout d'un référentiel approuvé est assez semblable à l'ajout d'un auteur, à la différence que vous devez ajouter serviceIndex.

Vous trouverez ci-dessous un exemple de référentiel approuvé ajouté au fichier NuGet.config :

<trustedSigners>
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
</repository>
</trustedSigners>

Ajout de propriétaires approuvés

Un référentiel peut comprendre des paquets signés par plusieurs auteurs. Dans ce cas, la balise <owners> peut être utilisée pour autoriser uniquement l'installation de paquets signés par des auteurs approuvés.

Ajoutez les auteurs approuvés entre les balises <owners>, comme dans l'exemple ci-dessous :

<trustedSigners>
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
<owners>Author1;Author2</owners>
</repository>
</trustedSigners>

v2021.2 Comportement

À partir de la version v2021.2, les paramètres suivants pour la Vérification de la signature des packages ne sont plus remplis dans le fichier Nuget.config lors de l’installation :

• Le paramètre signatureValidationMode n'est plus renseigné dans le fichier Nuget.config lors de l'installation
• UiPath^® is no longer populated in the Nuget.config file at install as both repository and author in the trustedSigners tag.

Impact :

• If Package Signature Verification is used, all trusted signers, including UiPath^®, must be added manually in the NuGet.config file.
• Si la Vérification de la signature des packages n’est pas utilisée, la balise trustedSigners ne doit pas être présente dans le fichier NuGet.config.
• Si le flux NuGet.org est utilisé, il doit être ajouté à la fois pour le mode Accepter et Exiger, car NuGet annonce l’ensemble du référentiel comme étant signé.

To resolve the above, you need to add UiPath^® as a trusted signer.