Hoe verifieer ik een PGP-handtekening?

PGP wordt niet alleen gebruikt om informatie te beveiligen tegen cyberbedreigingen, maar ook om de integriteit van bestanden te controleren.

Deze tutorial legt eenvoudig uit hoe PGP werkt en hoe PGP-handtekeningen te verifiëren .

Hoe PGP werkt

De onderstaande afbeelding toont een openbare PGP-sleutel. Deze openbare PGP-sleutel kan alleen worden gedecodeerd met een specifieke persoonlijke PGP-sleutel. De uitgever van de onderstaande openbare sleutel heeft ook een persoonlijke PGP-sleutel uitgegeven, aangezien deze in hetzelfde proces worden gegenereerd. Hij deelt alleen de publieke sleutel.
Als je zijn openbare sleutel neemt om een ​​bericht naar hem te versleutelen, kan hij het bericht ontsleutelen met zijn privésleutel. Alleen zijn privésleutel kan het bericht ontsleutelen dat je hebt versleuteld met zijn openbare sleutel.

De informatie wordt versleuteld met de openbare sleutel en ontsleuteld met de privésleutel. Dit heet asymmetrische encryptie .

Dus zelfs als een aanvaller erin slaagt het bericht te onderscheppen zonder de privésleutel, kan hij de inhoud van het bericht niet zien.

Het voordeel van asymmetrische encryptie is de eenvoud om sleutels uit te wisselen. Maar het nadeel is dat het geen grote hoeveelheden gegevens kan versleutelen, en daarom implementeert PGP beide.

Symmetrische codering wordt toegepast wanneer de openbare sleutel wordt gebruikt om de beschermde gegevens te coderen. Met de openbare sleutel doet de afzender twee dingen: eerst genereert hij de symmetrische codering om de gegevens te beschermen, en dan past hij asymmetrische codering toe, die niet de gegevens zelf versleutelt, maar de symmetrische sleutel, die de gegevens beschermt.

Om technischer te zijn, voordat de symmetrische sleutel wordt toegepast, worden de gegevens ook gecomprimeerd voordat ze worden versleuteld met de symmetrische sleutel en de openbare sleutel. De volgende grafiekstroom toont het hele proces:

PGP-handtekeningen

PGP wordt ook gebruikt om de integriteit van pakketten te controleren. Dit wordt bereikt door middel van een digitale handtekening, wat kan worden gedaan met PGP.

Ten eerste genereert PGP een hash die is versleuteld met de privésleutel. Zowel de privésleutel als de hash kunnen worden gedecodeerd met behulp van de openbare sleutel.

PGP maakt bijvoorbeeld een digitale handtekening voor een ISO-image met behulp van DSA- of RSA-algoritmen. In dit geval wordt de privésleutel gekoppeld aan de software of ISO Image, in tegenstelling tot de eerder beschreven bewerking. De publieke sleutel wordt ook gedeeld.

Gebruikers gebruiken de openbare sleutel om de handtekening te verifiëren die aan de vrijgegeven software is gekoppeld.

De volgende grafiek laat zien hoe de privésleutel en hash aan de software zijn gekoppeld en hoe de gebruiker de software met de bijgevoegde hash en privésleutel samen met de openbare sleutel gebruikt om de handtekening te verifiëren:

Hoe verifieer ik een PGP-handtekening?

Het eerste voorbeeld laat zien hoe u de Linux-kernelhandtekening kunt verifiëren. Om het te proberen, ga naar https://kernel.org en download een kernelversie en het bijbehorende PGP-bestand. Voor dit voorbeeld zal ik bestanden downloaden linux-5.12.7.tar.xz en linux-5.12.7.tar.teken .

Het eerste voorbeeld laat zien hoe u de handtekening kunt verifiëren met een enkele opdracht. Volgens de man-pagina zal deze optiecombinatie in toekomstige versies worden afgeschaft. Het wordt echter nog steeds veel gebruikt en hoewel de specifieke combinatie zal worden afgeschaft, blijven de opties bestaan.

De eerste optie –keyserver-opties maakt het mogelijk om opties te definiëren voor de sleutelserver waar openbare sleutels worden opgeslagen. Kortom, dit maakt de implementatie van opties voor het ophalen van openbare sleutels mogelijk.

De –keyserver-opties wordt gecombineerd met de -auto-sleutel ophalen optie om automatisch openbare sleutels op te halen van een sleutelserver bij het verifiëren van handtekeningen.

Om de openbare sleutels te vinden, leest deze opdracht de handtekening op zoek naar een gedefinieerde voorkeurssleutelserver of ondertekenaars-ID via een opzoekproces met behulp van Web Key Directory.

Zoals je kunt zien, is de handtekening goed, maar er is een waarschuwingsbericht dat gpg niet kan bevestigen dat de handtekening van de eigenaar is. Iedereen kan een openbare handtekening plaatsen als Greg Krohan-Hartman. U weet dat de handtekening legitiem is omdat u de server vertrouwt waarvan u deze hebt gedownload. In dit geval wordt het gespecificeerd in het .sign gedownload van kernel.org.
Deze waarschuwing is altijd aanwezig en u kunt deze vermijden door handtekeningen toe te voegen aan een vertrouwde lijst met handtekeningen met behulp van de optie -edit-key vertrouwen . De waarheid is dat geen enkele gebruiker het doet, en de Gpg-gemeenschap heeft verzocht om verwijdering van de waarschuwing.

SHA256SUMS.gpg verifiëren

In het volgende voorbeeld zal ik de integriteit verifiëren van een oude Kali Linux-afbeelding die ik in mijn doos heb gevonden. Voor dit doel heb ik de SHA256SUMS.gpg- en SHA256SUMS-bestanden gedownload die bij hetzelfde iso-image horen.

Nadat u een iso-image, de SHA256SUMS.gpg en SHA256SUMS, hebt gedownload, moet u de openbare sleutels ophalen. In het volgende voorbeeld haal ik de sleutels op met wget en gpg –importeren (Kali-verificatie-instructies linken naar deze sleutelserver).

Vervolgens verifieer ik de bestandsintegriteit door gpg aan te roepen met de -verifiëren argument:

Zoals u kunt zien, is de handtekening goed en is de verificatie geslaagd.

Het volgende voorbeeld laat zien hoe u een NodeJS-download kunt verifiëren. De eerste opdracht retourneert een fout omdat er geen openbare sleutel is. De fout geeft aan dat ik moet zoeken naar de sleutel 74F12602B6F1C4E913FAA37AD3A89613643B6201. Meestal vindt u de sleutel-ID ook in de instructies.

Door gebruik te maken van de optie –sleutelserver , kan ik de server specificeren om naar de sleutel te zoeken. Door gebruik te maken van de optie –recv-toetsen , ik haal sleutels op. Dan werkt de verificatie:

Ik kopieer de sleutel die ik moet ophalen, en dan voer ik uit:

Zoeken naar gpg-sleutels:

Als het automatisch ophalen van sleutels niet werkt en u de verificatiespecifieke instructies niet kunt vinden, kunt u de sleutel in een sleutelserver zoeken met behulp van de optie –zoektoets .

Zoals je kunt zien, is de sleutel gevonden. U kunt deze ook opvragen door op het nummer van de toets te drukken die u wilt ophalen.

Conclusie

Het verifiëren van de integriteit van downloads kan ernstige problemen voorkomen of verklaren, bijvoorbeeld wanneer gedownloade software niet correct werkt. Het proces met gpg is vrij eenvoudig, zoals hierboven getoond, zolang de gebruiker alle benodigde bestanden krijgt.

Het begrijpen van asymmetrische codering of op openbare en privésleutels gebaseerde codering is een basisbehoefte om veilig te kunnen communiceren op internet, bijvoorbeeld met behulp van digitale handtekeningen.

Ik hoop dat deze tutorial over PGP-handtekeningen nuttig was. Blijf Linux Hint volgen voor meer Linux-tips en tutorials.