Celý čas som GPG používal zle!

24.2.2016 08:20 | Přečteno: 2371× | software | poslední úprava: 24.2.2016 10:26

Dnes som s hrôzou zistil že som celý čas používal GPG zle.

$ echo "hello" > sample.txt
gpg --sign sample.txt

$ gpg --verify sample.txt.gpg
gpg: Signature made Tue Feb 23 18:19:35 2016 CET using RSA key ID 51113BF4
gpg: Good signature from "Notebook <asdf@asdf.sk>"

$ echo "evil" > sample.txt

$ gpg --verify sample.txt.gpg
gpg: Signature made Tue Feb 23 18:19:35 2016 CET using RSA key ID 51113BF4
gpg: Good signature from "Notebook <asdf@asdf.sk>"

Pri kontrole treba vždy uviesť oba súbory. Ak sa niekto pomýli tak ako ja, tak GPG zahlási že sa nejedná o detached signature.

$ gpg --verify sample.txt.gpg sample.txt 
gpg: not a detached signature

Korektné riešenie je potom použiť (--detach-sign alebo -b, prípadne rovno -ab). V manuále ktorý som čítal niekoľko krát to uvedené je, len mi to proste nedošlo. A pokusmi som na to neprišiel lebo som robil vždy pokusy na cudzích súboroch (tie boli vždy správne), nie na mojich.        

Komentáře

[Dreit]

https://xkcd.com/1181/

https://xkcd.com/1553/

[rastos]

gpg --sign sample.txt

Vyrobí súbor, ktorý je aj zašifrovaný (pre default príjemcu) a je tiež podpísaný. Prirodzene potom

gpg --verify sample.txt.gpg

overí, že sedí podpis pre dokument, ktorý je vnútri toho sample.txt.gpg. Ten sedí a preto to povie "Good signature".

Takže mi z toho vychádza, že si očakával, že vyrábaš detached signature a pritom to nebola pravda. A rovnako pri podpisovaní si si myslel, že overuješ detached signature a to tiež nebola pravda.

Keby si nepoužil --verify, ale jednoducho spravil gpg sample.txt.gpg tak ti to povie, že to chce prepísať sample.txt - tým čo získal dekryptovaním sample.txt.gpg. A tiež to povie, že to má Good signature.

[JiK]

a neni jednodussi zverejnit obe casti sveho klice, aby bylo zarucene, ze to bude fungovat?

[Petr Tomášek]

Goto #1