Vérification de la signature des paquets

La signature des paquets est une méthode utilisée par les packages NuGet afin de prouver qu’ils proviennent de sources approuvées. Un package est signé à l’aide d’un certificat afin de valider l’identité d’un signataire. Lorsque le déploiement est configuré de façon à ce que la Vérification de la signature des paquets soit vérifiée, UiPath^® le valide par rapport aux informations disponibles dans le NuGet.config pour trouver le certificat demandé afin de garantir que les packages utilisés proviennent bien d’un auteur ou d’un référentiel autorisé.

Pour une présentation détaillée du fonctionnement de la Vérification des signatures de paquets, assurez-vous de consulter les détails de cette section du guide Microsoft concernant le fichier NuGet.config.

Configuration de la vérification de la signature des paquets

Modes de validation

• accept - Permet d'installer des packages non signés.
• require - Pour qu'un package soit installé, ses détails de signature doivent correspondre à ceux de la section trustedSigners du fichier NuGet.config.

Application de l’utilisation de packages signés

Pour appliquer l’utilisation de packages signés, le paramètre signatureValidationMode du fichier Nuget.config doit être défini require. Le fichier se trouve dans %ProgramFiles%\UiPath\Studio. Vous pouvez le définir de deux façons :

• Lors de l’installation, à l'aide de la ligne de commande avec l’option ENFORCE_SIGNED_EXECUTION=1.

  Par exemple, la commande suivante installe Studio, un robot en tant que service Windows, et applique l’utilisation de packages signés dans votre environnement UiPath^® :

  UiPathStudio.msi ADDLOCAL=DesktopFeature,Studio,Robot,RegisterService ENFORCE_SIGNED_EXECUTION=1

• Après l’installation, en modifiant manuellement le fichier NuGet.config.

  Si vous définissez le paramètre après l’installation, les modifications prendront effet après avoir :

  1. Redémarrez le service de robot UiPath.
  2. supprimé tous les packages .NuGet existants dans %ProgramFiles%\UiPath\Studio\Packages et dans %userprofile%\.nuget\packages.
  3. redémarré Studio/Assistant.

Ajout de sources approuvées

Pour télécharger, installer et exécuter des paquets signés avec un certain certificat, ajoutez le certificat requis en tant que source approuvée.

Pour ce faire, modifiez le fichier NuGet.config dans le dossier d'installation, dans la section <trustedSigners>.

Remarque : vous trouverez plus d'informations sur l'ajout ou la suppression de flux d'activités dans ce document.

Ajouter UiPath^® en tant que signataire approuvé

Ouvrez le fichier NuGet.config du dossier d’installation et ajoutez les valeurs suivantes :

<config>
     <add key="signatureValidationMode" value="require" />
</config>
<trustedSigners>
   <author name="UiPath">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false"/>
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </author>
   <repository name="UiPathRepository" serviceIndex="https://gallery.uipath.com/api/v3/index.json">
      <certificate fingerprint="D179174EBC1E180D656BFB15BE369DEA8A17C178230FAC7771BF5446940C290C" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
      <certificate fingerprint="ABD1E1BB749DDC96B46A1DBD91B93A2D8B3B5572D1E20A52F6165ED96FC117E0" hashAlgorithm="SHA256" allowUntrustedRoot="false" />
   </repository>
</trustedSigners>

Ajout d'un auteur approuvé

Pour ajouter un auteur approuvé, vous devez ouvrir le fichier NuGet.config situé à %ProgramFiles%\UiPath\Studio\NuGet.config. Ensuite, fournissez le certificatefingerprint et hashAlgorithm comme dans l'exemple ci-dessus. Pour obtenir plus d'informations sur l'empreinte digitale du certificat, consultez cette page.

Ajout d'un référentiel approuvé

L'ajout d'un référentiel approuvé est assez semblable à l'ajout d'un auteur, à la différence que vous devez ajouter serviceIndex.

Vous trouverez ci-dessous un exemple de référentiel approuvé ajouté au fichier NuGet.config :

<trustedSigners>    
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
</repository>
</trustedSigners>

Ajout de propriétaires approuvés

Un référentiel peut comprendre des paquets signés par plusieurs auteurs. Dans ce cas, la balise <owners> peut être utilisée pour autoriser uniquement l'installation de paquets signés par des auteurs approuvés.

Ajoutez les auteurs approuvés entre les balises <owners>, comme dans l'exemple ci-dessous :

<trustedSigners>
<repository name="UiPath Repository" serviceIndex="https://uipath.repository">
<certificate fingerprint="1234512345123451234512345123123123123123123123123123112312312E5" hashAlgorithm="SHA256" allowUntrustedRoot="true" />
<owners>Author1;Author2</owners> 
</repository>
</trustedSigners>

v2021.2 Comportement

À partir de la version v2021.2, les paramètres suivants pour la Vérification de la signature des packages ne sont plus remplis dans le fichier Nuget.config lors de l’installation :

• Le paramètre signatureValidationMode n'est plus renseigné dans le fichier Nuget.config lors de l'installation
• Lors de l’installation, UiPath^® n’est plus renseigné dans le fichier Nuget.config à la fois en tant que référentiel et auteur dans la balise trustedSigners.

Impact :

• Si la vérification de la signature des packages est utilisée, tous les signataires approuvés, y compris UiPath^®, doivent être ajoutés manuellement dans le fichier NuGet.config.
• Si la Vérification de la signature des packages n’est pas utilisée, la balise trustedSigners ne doit pas être présente dans le fichier NuGet.config.
• Si le flux NuGet.org est utilisé, il doit être ajouté à la fois pour le mode Accepter et Exiger, car NuGet annonce l’ensemble du référentiel comme étant signé.

Pour résoudre ce qui précède, vous devez ajouter UiPath^® en tant que signataire approuvé.