Come posso verificare una firma PGP?

PGP non viene utilizzato solo per proteggere le informazioni dalle minacce informatiche, ma anche per verificare l'integrità dei file.

Questo tutorial spiega facilmente come funziona PGP e come verificare le firme PGP .

Come funziona PGP

L'immagine sotto mostra una chiave pubblica PGP. Questa chiave pubblica PGP può essere decifrata solo con una chiave PGP privata specifica. L'emittente della chiave pubblica di seguito ha emesso anche una chiave PGP privata poiché vengono generate nello stesso processo. Condivide solo la chiave pubblica.
Se prendi la sua chiave pubblica per crittografare un messaggio, sarà in grado di decifrare il messaggio utilizzando la sua chiave privata. Solo la sua chiave privata può decifrare il messaggio che hai crittografato usando la sua chiave pubblica.

Le informazioni vengono crittografate utilizzando la chiave pubblica e decrittografate utilizzando la chiave privata. Questo è chiamato crittografia asimmetrica .

Quindi, anche se un utente malintenzionato riesce a intercettare il messaggio senza la chiave privata, non è in grado di vedere il contenuto del messaggio.

Il vantaggio della crittografia asimmetrica è la semplicità di scambio delle chiavi. Ma il suo svantaggio è che non può crittografare grandi quantità di dati, ed è per questo che PGP li implementa entrambi.

La crittografia simmetrica viene applicata quando la chiave pubblica viene utilizzata per crittografare i dati protetti. Con la chiave pubblica, il mittente fa due cose: prima genera la crittografia simmetrica per proteggere i dati, quindi applica la crittografia asimmetrica, che non crittografa i dati in sé, ma la chiave simmetrica, che protegge i dati.

Per essere più tecnici, prima che venga applicata la chiave simmetrica, i dati vengono anche compressi prima di essere crittografati con la chiave simmetrica e la chiave pubblica. Il seguente flusso grafico mostra l'intero processo:

Firme PGP

PGP viene utilizzato anche per verificare l'integrità dei pacchetti. Ciò si ottiene tramite la firma digitale, che può essere eseguita con PGP.

Innanzitutto, PGP genera un hash crittografato con la chiave privata. Sia la chiave privata che l'hash possono essere decifrati utilizzando la chiave pubblica.

PGP crea una firma digitale, ad esempio, per un'immagine ISO utilizzando algoritmi DSA o RSA. In questo caso, la chiave privata è allegata al software o all'immagine ISO, contrariamente all'operazione descritta in precedenza. Anche la chiave pubblica è condivisa.

Gli utenti utilizzano la chiave pubblica per verificare la firma allegata al software rilasciato.

Il flusso del grafico seguente mostra come la chiave privata e l'hash sono collegati al software e come l'utente prende il software con l'hash e la chiave privata allegati insieme alla chiave pubblica per verificare la firma:

Come posso verificare una firma PGP?

Il primo esempio mostra come verificare la firma del kernel Linux. Per provarlo, accedi https://kernel.org e scarica una versione del kernel e il suo file PGP. Per questo esempio, scaricherò i file linux-5.12.7.tar.xz e linux-5.12.7.tar.sign .

Il primo esempio mostra come verificare la firma con un singolo comando. Secondo la pagina man, questa combinazione di opzioni sarà deprecata nelle versioni future. Tuttavia, è ancora ampiamente utilizzato e, sebbene la combinazione specifica sarà deprecata, le opzioni rimarranno.

La prima opzione –opzioni-keyserver consente di definire le opzioni per il server delle chiavi in ​​cui sono archiviate le chiavi pubbliche. Fondamentalmente, ciò consente l'implementazione delle opzioni di recupero delle chiavi pubbliche.

Il –opzioni-keyserver è combinato con il –recupero-chiave-automatico opzione per recuperare automaticamente le chiavi pubbliche da un server di chiavi durante la verifica delle firme.

Per trovare le chiavi pubbliche, questo comando leggerà la firma cercando un keyserver preferito definito o l'ID del firmatario attraverso un processo di ricerca utilizzando Web Key Directory.

Come puoi vedere, la firma è buona, ma c'è un messaggio di avviso che dice che gpg non può confermare che la firma appartiene al proprietario. Chiunque può rilasciare una firma pubblica come Greg Krohan-Hartman. Sai che la firma è legittima perché ti fidi del server da cui l'hai scaricata. In questo caso è specificato nel .sign scaricato da kernel.org.
Questo avviso è sempre presente e puoi evitarlo aggiungendo firme a un elenco di firme attendibili utilizzando l'opzione –fiducia chiave di modifica . La verità è che nessun utente lo fa e la comunità Gpg ha richiesto la rimozione dell'avviso.

Verifica SHA256SUMS.gpg

Nell'esempio seguente, verificherò l'integrità di una vecchia immagine di Kali Linux che ho trovato nella mia scatola. A tal fine, ho scaricato i file SHA256SUMS.gpg e SHA256SUMS appartenenti alla stessa immagine iso.

Una volta scaricata un'immagine ISO, SHA256SUMS.gpg e SHA256SUMS, devi ottenere le chiavi pubbliche. Nell'esempio seguente, recupero le chiavi usando wget e gpg –import (Le istruzioni per la verifica di Kali si collegano a questo server delle chiavi).

Quindi verifico l'integrità del file chiamando gpg con il -verificare discussione:

Come puoi vedere, la firma è buona e la verifica è andata a buon fine.

L'esempio seguente mostra come verificare un download di NodeJS. Il primo comando restituisce un errore perché non esiste una chiave pubblica. L'errore indica che devo cercare la chiave 74F12602B6F1C4E913FAA37AD3A89613643B6201. Di solito, puoi trovare l'ID della chiave anche nelle istruzioni.

Usando l'opzione –keyserver , posso specificare il server in cui cercare la chiave. Usando l'opzione –tasti-recv , Recupero le chiavi. Quindi la verifica funziona:

Copio la chiave che devo recuperare, quindi eseguo:

Ricerca chiavi gpg:

Se il recupero automatico delle chiavi non funziona e non riesci a trovare le istruzioni specifiche per la verifica, puoi cercare la chiave in un server delle chiavi utilizzando l'opzione –chiave di ricerca .

Come puoi vedere, la chiave è stata trovata. Puoi anche recuperarlo premendo il numero della chiave che vuoi recuperare.

Conclusione

La verifica dell'integrità dei download può prevenire problemi seri o spiegarli, ad esempio, quando il software scaricato non funziona correttamente. Il processo con gpg è piuttosto semplice, come mostrato sopra, purché l'utente ottenga tutti i file necessari.

Comprendere la crittografia asimmetrica o la crittografia basata su chiavi pubbliche e private è un'esigenza fondamentale per interagire in sicurezza su Internet, ad esempio utilizzando le firme digitali.

Spero che questo tutorial sulle firme PGP sia stato utile. Continua a seguire Linux Hint per ulteriori suggerimenti e tutorial su Linux.