Comment vérifier une signature PGP ?

PGP n'est pas seulement utilisé pour protéger les informations contre les cybermenaces, mais également pour vérifier l'intégrité des fichiers.

Ce tutoriel explique facilement le fonctionnement de PGP et comment vérifier les signatures PGP .

Comment fonctionne PGP

L'image ci-dessous représente une clé publique PGP. Cette clé publique PGP ne peut être déchiffrée qu'avec une clé PGP privée spécifique. L'émetteur de la clé publique ci-dessous a également émis une clé PGP privée car elles sont générées dans le même processus. Il ne partage que la clé publique.
Si vous prenez sa clé publique pour lui chiffrer un message, il pourra déchiffrer le message à l'aide de sa clé privée. Seule sa clé privée peut déchiffrer le message que vous avez chiffré à l'aide de sa clé publique.

Les informations sont chiffrées à l'aide de la clé publique et déchiffrées à l'aide de la clé privée. C'est appelé cryptage asymétrique .

Ainsi, même si un attaquant parvient à intercepter le message sans la clé privée, il est incapable de voir le contenu du message.

L'avantage du chiffrement asymétrique est la simplicité d'échange des clés. Mais son inconvénient est qu'il ne peut pas chiffrer de grandes quantités de données, et c'est pourquoi PGP implémente les deux.

Le chiffrement symétrique est appliqué lorsque la clé publique est utilisée pour chiffrer les données protégées. Avec la clé publique, l'expéditeur fait deux choses : d'abord génère le chiffrement symétrique pour protéger les données, puis il applique le chiffrement asymétrique, qui ne chiffre pas les données elles-mêmes, mais la clé symétrique, qui protège les données.

Pour être plus technique, avant l'application de la clé symétrique, les données sont également compressées avant d'être chiffrées avec la clé symétrique et la clé publique. Le flux graphique suivant montre l'ensemble du processus :

Signatures PGP

PGP est également utilisé pour vérifier l'intégrité des packages. Ceci est réalisé grâce à la signature numérique, qui peut être effectuée avec PGP.

Tout d'abord, PGP génère un hachage qui est chiffré avec la clé privée. La clé privée et le hachage peuvent être déchiffrés à l'aide de la clé publique.

PGP crée une signature numérique, par exemple, pour une image ISO à l'aide des algorithmes DSA ou RSA. Dans ce cas, la clé privée est attachée au logiciel ou à l'image ISO, contrairement au fonctionnement décrit précédemment. La clé publique est également partagée.

Les utilisateurs utilisent la clé publique pour vérifier la signature attachée au logiciel publié.

Le diagramme suivant montre comment la clé privée et le hachage sont attachés au logiciel et comment l'utilisateur utilise le logiciel avec le hachage et la clé privée attachés avec la clé publique pour vérifier la signature :

Comment vérifier une signature PGP ?

Le premier exemple montre comment vérifier la signature du noyau Linux. Pour l'essayer, accédez https://kernel.org et téléchargez une version du noyau et son fichier PGP. Pour cet exemple, je vais télécharger des fichiers linux-5.12.7.tar.xz et linux-5.12.7.tar.sign .

Le premier exemple montre comment vérifier la signature avec une seule commande. Selon la page de manuel, cette combinaison d'options sera dépréciée dans les futures versions. Cependant, il est encore largement utilisé, et bien que la combinaison spécifique soit dépréciée, les options resteront.

La première option –keyserver-options permet de définir des options pour le serveur de clés où les clés publiques sont stockées. Fondamentalement, cela permet la mise en œuvre d'options de récupération de clés publiques.

Les –keyserver-options est combiné avec le –récupération de clé automatique option pour récupérer automatiquement les clés publiques d'un serveur de clés lors de la vérification des signatures.

Pour trouver les clés publiques, cette commande lira la signature à la recherche d'un serveur de clés préféré défini ou d'un identifiant de signataire via un processus de recherche utilisant Web Key Directory.

Comme vous pouvez le voir, la signature est bonne, mais il y a un message d'avertissement indiquant que gpg ne peut pas confirmer que la signature appartient au propriétaire. N'importe qui peut émettre une signature publique en tant que Greg Krohan-Hartman. Vous savez que la signature est légitime car vous faites confiance au serveur à partir duquel vous l'avez téléchargée. Dans ce cas, il est spécifié dans le .sign téléchargé depuis kernel.org.
Cet avertissement est toujours présent et vous pouvez l'éviter en ajoutant des signatures à une liste de signatures de confiance à l'aide de l'option –edit-clé de confiance . La vérité est qu'aucun utilisateur ne le fait, et la communauté Gpg a demandé la suppression de l'avertissement.

Vérification de SHA256SUMS.gpg

Dans l'exemple suivant, je vais vérifier l'intégrité d'une ancienne image Kali Linux que j'ai trouvée dans ma boîte. Pour cela, j'ai téléchargé les fichiers SHA256SUMS.gpg et SHA256SUMS appartenant à la même image iso.

Une fois que vous avez téléchargé une image ISO, SHA256SUMS.gpg et SHA256SUMS, vous devez obtenir les clés publiques. Dans l'exemple suivant, je récupère les clés en utilisant wget et gpg – importation (Les instructions de vérification de Kali renvoient à ce serveur de clés).

Ensuite, je vérifie l'intégrité du fichier en appelant gpg avec le -Vérifier argument:

Comme vous pouvez le voir, la signature est bonne et la vérification a réussi.

L'exemple suivant montre comment vérifier un téléchargement NodeJS. La première commande renvoie une erreur car il n'y a pas de clé publique. L'erreur indique que je dois rechercher la clé 74F12602B6F1C4E913FAA37AD3A89613643B6201. Habituellement, vous pouvez également trouver l'ID de clé dans les instructions.

En utilisant l'option –serveur de clés , je peux spécifier le serveur pour rechercher la clé. En utilisant l'option –recv-clés , je récupère les clés. Ensuite, la vérification fonctionne :

Je copie la clé que je dois récupérer, puis je lance :

Recherche de clés gpg :

Si la récupération automatique des clés ne fonctionne pas et que vous ne trouvez pas les instructions spécifiques à la vérification, vous pouvez rechercher la clé dans un serveur de clés à l'aide de l'option –clé-de-recherche .

Comme vous pouvez le voir, la clé a été trouvée. Vous pouvez également le récupérer en appuyant sur le numéro de la clé que vous souhaitez récupérer.

Conclusion

La vérification de l'intégrité des téléchargements peut éviter de graves problèmes ou les expliquer, par exemple, lorsque le logiciel téléchargé ne fonctionne pas correctement. Le processus avec gpg est assez simple, comme indiqué ci-dessus, tant que l'utilisateur obtient tous les fichiers nécessaires.

Comprendre le cryptage asymétrique ou le cryptage basé sur des clés publiques et privées est un besoin fondamental pour interagir en toute sécurité sur Internet, par exemple à l'aide de signatures numériques.

J'espère que ce tutoriel sur les signatures PGP a été utile. Continuez à suivre Linux Hint pour plus de conseils et de didacticiels Linux.