Diese Anleitung erklärt einen klaren und schrittweisen 1-minütigen Prozess, um zu überprüfen, ob eine in Ihrem Besitz befindliche Datei mit einem bestimmten geheimen GPG-Schlüssel digital signiert wurde und seit dem Signieren nicht geändert wurde.
Schritte
Teil 1 von 2: Herunterladen, was Sie brauchen
Um Ihre Meinung zu bestätigen, dass jemand eine Datei signiert hat, benötigen Sie eine Kopie des öffentlichen Schlüssels dieser Person, eine Kopie der Datei und eine Kopie der Signaturdatei, die angeblich durch die Interaktion des geheimen Schlüssels der Person und der Datei.
Schritt 1. Erwerben Sie den öffentlichen Schlüssel
Importieren Sie den öffentlichen Schlüssel in GPG
Schritt 2. Erwerben Sie eine Kopie der betreffenden Datei
Speichern Sie es in einem Ordner
Schritt 3. Besorgen Sie sich eine Kopie der betreffenden Signaturdatei
Speichern Sie es im selben Ordner
Teil 2 von 2: Verwenden von GPG, um zu überprüfen, ob der geheime Schlüssel einer Person die fragliche Datei signiert hat
GPG hilft Ihnen, die Beziehung zwischen Ihren drei Dateien zu überprüfen.
Schritt 1. Öffnen Sie eine Befehlszeilenschnittstelle
Ändern Sie das Arbeitsverzeichnis in den Ordner, in dem Ihre Datei und Signaturdatei gespeichert sind
Schritt 2. Überprüfen Sie die Signatur
- Geben Sie den folgenden Befehl in eine Befehlszeilenschnittstelle ein:
-
gpg --verify [Signaturdatei] [Datei]
- Z. B. wenn Sie erworben haben
- (1) die Öffentlicher Schlüssel 0x416F061063FEE659,
- (2) das Tor-Browser-Bundle Datei (tor-browser.tar.gz) und
- (3) die Signaturdatei zusammen mit der Tor Browser Bundle-Datei (tor-browser.tar.gz.asc) gepostet,
- Sie würden Folgendes eingeben:
-
gpg --verify tor-browser.tar.gz.asc tor-browser.tar.gz
Warnung
- Obwohl Sie jetzt sicher sind, dass der geheime Schlüssel, der an Ihren öffentlichen Schlüssel gebunden ist, zum Signieren der Datei verwendet wurde, müssen Sie dennoch Vorkehrungen treffen, um sicherzustellen, dass dieser öffentliche Schlüssel tatsächlich der Person gehört, der Sie glauben, dass er gehört. Nichts hindert einen Gegner daran, Schlüssel herzustellen, die in Erscheinung treten jemandem gehören.
- Wenn Sie den öffentlichen Schlüssel einer anderen Person nicht in Ihren GPG-Schlüsselbund importiert haben, funktioniert dieses Verfahren nicht.
- Die Person kann die Signaturdatei beliebig benennen: Die Namen der Datei und der Signaturdatei müssen nicht ähnlich oder verwandt sein.
