fix(upgrade): U-01 — enforce pre-hashed minisign verification

src/upgrade.rs

@@ -64,14 +64,16 @@ impl Default for UpgradeOptions {
     }
 }
 
-/// Überprüft eine Minisign-Signatur für gegebene Binärdaten mit dem angegebenen Minisign Public Key (S-02).
+/// Überprüft eine Minisign-Signatur für gegebene Binärdaten mit dem angegebenen Minisign Public Key (U-01).
+///
+/// Erzwingt strikt Pre-Hashing (`allow_legacy = false`), um Malleability- und Längenangriffe auszuschließen.
 pub fn verify_minisign_signature(data: &[u8], sig_str: &str, pubkey_str: &str) -> Result<()> {
     let pubkey = minisign_verify::PublicKey::from_base64(pubkey_str)
         .map_err(|e| anyhow::anyhow!("Ungültiger öffentlicher Minisign-Schlüssel: {e}"))?;
     let signature = minisign_verify::Signature::decode(sig_str)
         .map_err(|e| anyhow::anyhow!("Ungültiges Minisign-Signaturformat: {e}"))?;
     pubkey
-        .verify(data, &signature, true)
+        .verify(data, &signature, false)
         .map_err(|e| anyhow::anyhow!("Minisign-Signaturprüfung FEHLGESCHLAGEN: {e}. Das Release-Manifest ist nicht vertrauenswürdig!"))?;
     Ok(())
 }