Како да верификујем ПГП потпис?

ПГП се не користи само за заштиту информација од сајбер претњи, већ и за проверу интегритета датотека.

Овај водич лако објашњава како ПГП ради и како проверити ПГП потписе .

Како ПГП ради

Доња слика приказује ПГП јавни кључ. Овај ПГП јавни кључ може се дешифровати само помоћу одређеног приватног ПГП кључа. Издавач јавног кључа испод такође је издао приватни ПГП кључ јер се они генеришу у истом процесу. Он дели само јавни кључ.
Ако узмете његов јавни кључ да бисте му шифровали поруку, он ће моћи да дешифрује поруку користећи свој приватни кључ. Само његов приватни кључ може дешифрирати поруку коју сте шифрирали помоћу његовог јавног кључа.

Подаци се шифрују јавним кључем, а дешифрују приватним кључем. Ово се зове асиметрично шифровање .

Дакле, чак и ако нападач успе да пресретне поруку без приватног кључа, не може да види садржај поруке.

Предност асиметричног шифровања је једноставност размене кључева. Али његов недостатак је што не може да шифрује велике количине података, и зато ПГП примењује обоје.

Симетрично шифровање се примењује када се јавни кључ користи за шифровање заштићених података. Са јавним кључем пошиљалац чини две ствари: прво генерише симетрично шифровање ради заштите података, а затим примењује асиметрично шифровање, које не шифрује саме податке, већ симетрични кључ, који штити податке.

Ради техничке природе, пре него што се примени симетрични кључ, подаци се такође компримирају пре него што се шифрују помоћу симетричног кључа и јавног кључа. Следећи ток графикона приказује цео процес:

ПГП Потписи

ПГП се такође користи за проверу интегритета пакета. То се постиже дигиталним потписом, што се може урадити помоћу ПГП -а.

Прво, ПГП генерише хеш који је шифрован приватним кључем. И приватни кључ и хеш се могу дешифровати помоћу јавног кључа.

ПГП ствара дигитални потпис, на пример, за ИСО слику користећи ДСА или РСА алгоритме. У овом случају, приватни кључ је приложен софтверу или ИСО слици, супротно претходно описаној операцији. Јавни кључ се такође дели.

Корисници користе јавни кључ да провере потпис приложен издатом софтверу.

Следећи ток графикона приказује како су приватни кључ и хеш повезани са софтвером и како корисник узима софтвер са приложеним хешом и приватним кључем заједно са јавним кључем ради провере потписа:

Како да верификујем ПГП потпис?

Први пример показује како се проверава потпис језгра Линука. Приступите да бисте испробали хттпс://кернел.орг и преузмите верзију језгра и њену ПГП датотеку. За овај пример, преузећу датотеке линук-5.12.7.тар.кз и линук-5.12.7.тар.сигн .

Први пример показује како се верификује потпис једном командом. Према ман страници, ова комбинација опција ће бити застарела у будућим верзијама. Међутим, и даље се широко користи, а иако ће одређена комбинација бити застарјела, опције ће остати.

Прва опција –Кеисервер-оптионс омогућава дефинисање опција за сервер кључева где се чувају јавни кључеви. У основи, ово омогућава имплементацију опција преузимања јавних кључева.

Тхе –Кеисервер-оптионс комбинује се са –Ауто-кључ-преузимање могућност аутоматског преузимања јавних кључева са сервера кључева приликом провере потписа.

Да би се пронашли јавни кључеви, ова команда ће читати потпис тражећи дефинисани жељени послужитељ кључева или ИД потписника кроз процес претраживања помоћу именика веб кључева.

Као што видите, потпис је добар, али постоји порука упозорења која каже да гпг не може потврдити да потпис припада власнику. Свако може издати јавни потпис као Грег Крохан-Хартман. Знате да је потпис легитиман јер верујете серверу са којег сте га преузели. У овом случају, наведено је у .знаку преузетом са кернел.орг.
Ово упозорење је увек присутно и можете га избећи додавањем потписа на листу поузданих потписа помоћу опције –Поверење кључ у уређивање . Истина је да ниједан корисник то не ради, а Гпг заједница је затражила уклањање упозорења.

Верифиинг СХА256СУМС.гпг

У следећем примеру проверићу интегритет старе слике Кали Линука коју сам нашао у кутији. У ту сврху сам преузео датотеке СХА256СУМС.гпг и СХА256СУМС које припадају истој исо слици.

Када преузмете исо слику, СХА256СУМС.гпг и СХА256СУМС, морате набавити јавне кључеве. У следећем примеру, кључеве дохваћам помоћу вгет и гпг –импорт (Кали упутства за верификацију везу до овог сервера кључева).

Затим проверавам интегритет датотеке позивом гпг помоћу -проверити расправа:

Као што видите, потпис је добар, а верификација успешна.

Следећи пример показује како да верификујете НодеЈС преузимање. Прва команда враћа грешку јер нема јавног кључа. Грешка указује на то да морам да тражим кључ 74Ф12602Б6Ф1Ц4Е913ФАА37АД3А89613643Б6201. Обично ИД кључа можете пронаћи и у упутствима.

Коришћењем опције –Кључ сервер , Могу да наведем сервер за тражење кључа. Коришћењем опције –Рецв-кључеви , Преузимам кључеве. Затим верификација ради:

Копирам кључ који морам да преузмем, а затим покрећем:

Тражење гпг кључева:

Ако кључеви за аутоматско преузимање не функционишу и не можете пронаћи упутства за верификацију, можете да претражите кључ у серверу кључева помоћу опције -кључ за претрагу .

Као што видите, кључ је пронађен. Такође га можете преузети притиском на број тастера који желите да преузмете.

Закључак

Провера интегритета преузимања може спречити озбиљне проблеме или их објаснити, на пример, када преузети софтвер не ради исправно. Процес са гпг -ом је прилично једноставан, као што је приказано горе, све док корисник добије све потребне датотеке.

Разумевање асиметричног шифровања или шифровања заснованог на јавним и приватним кључевима основна је потреба за безбедном интеракцијом на Интернету, на пример, коришћењем дигиталних потписа.

Надам се да је овај водич о ПГП потписима био од помоћи. Пратите Линук Хинт за више Линук савета и водича.