Início / unix / Perguntas / 789081
Accepted
Greendrake
Asked: 2025-01-05 02:52:48 +0800 CST

Assinatura de arquivo com o mínimo de incômodo para o verificador

  • 772

Suponha que eu queira publicar (ou enviar para alguém) um arquivo. Eu também quero que os destinatários dele possam verificar se quaisquer atualizações futuras dele vêm da mesma fonte/autor do original.

A solução óbvia é enviar o arquivo original com uma chave pública e uma assinatura GPG do arquivo. Quaisquer atualizações subsequentes também serão assinadas.

Entretanto, os verificadores teriam que importar a chave pública para seu chaveiro local.

Não há uma abordagem mais flexível e menos intrusiva? Talvez não GPG, mas outra coisa?

Por exemplo, algo assim seria o ideal:

toolname --verify --pub path/to/public.key --sig path/to/signature path/to/file-to-verify

Parece que o GPG pode fazer isso, mas apenas em 3 etapas peculiares:

gpg --no-default-keyring --keyring ./temp-keyring.gpg --import pub.key
gpg --no-default-keyring --keyring ./temp-keyring.gpg --verify signature.gpg path/to/file
rm ./temp-keyring.gpg

Perguntas relacionadas: um , dois .

gpg

1 respostas

  1. Best Answer

    Não há uma abordagem mais flexível e menos intrusiva? Talvez não GPG, mas outra coisa?

    BSD signify. Você ainda tem que trocar a chave pública em algum momento, mas não há chaveiro etc.

    toolname --verify --pub path/to/public.key --sig path/to/signature path/to/file-to-verify

    seria

    signify -V -p path/to/public.key -x path/to/signature path/to/file-to-verify

    signifyé bem fácil de usar. O uso relevante completo pode ser explicado em quatro exemplos, eu acho; vou apenas citar a página de manual de Ted Unangst e Marc Espie aqui:

    Crie um novo par de chaves:

    significar -G -p novachave.pub -s novachave.sec

    A newkey.pubchave pública é bem curta. Ela se parece com isso:

    RWQihFKGTsDkMj9lWO3W+lIBNgooJtWDgcIT9uD3rd6GGz7ta38UPQMd

    e poderia ser facilmente incluído, por exemplo, em um código QR com sua assinatura à tinta, caso você precise de distribuição não digital.

    Assinar um arquivo, especificando um nome de assinatura:

    signify -S -s key.sec -m message.txt -x msg.sig

    Se você não especificar -x, então teria sido message.txt.sig.

    Verifique uma assinatura usando o nome de assinatura padrão:

    signify -V -p key.pub -m generalsorders.txt

    Se você usar sha256sum --tag file1 file2… > SHA256, então signify -S -s path/to/private.key -m SHA256 -e, e enviar SHA256.sig:

    Verifique um diretório de lançamento contendo SHA256.sig e um conjunto completo de arquivos de lançamento:

    signify -C -p /etc/signify/openbsd-76-base.pub -x SHA256.sig

    Os arquivos Gzip são especiais porque você pode incorporar a assinatura no próprio arquivo sem afetar os dados compactados.

    Assinar um arquivo gzip:

    signify -Sz -s key-arc.sec -m in.tgz -x out.tgz

    Verifique um pipeline gzip:

    ftp url | signify -Vz -t arc | tar ztf -
    • 3

relate perguntas