So überprüfen Sie die PGP-Signatur heruntergeladener Software unter Linux

Die Installation von Software auf einem Linux-System ist in der Regel eine reibungslose Fahrt. In den meisten Fällen verwenden Sie einen Paketmanager wie apt, dnf oder Pacman, um es sicher aus den Repositories Ihrer Distribution zu installieren.

In einigen Fällen kann es jedoch vorkommen, dass ein Softwarepaket nicht im offiziellen Repository der Distribution enthalten ist. In solchen Szenarien ist man gezwungen, es von der Website des Anbieters herunterzuladen. Aber wie sicher sind Sie, dass das Softwarepaket nicht manipuliert wurde? Das ist die Frage, die wir zu beantworten versuchen. In diesem Leitfaden konzentrieren wir uns darauf, wie Sie die PGP-Signatur eines heruntergeladenen Softwarepakets unter Linux überprüfen können.

PGP (Pretty Good Privacy) ist eine kryptografische Anwendung, die zum Verschlüsseln und Signieren von Dateien verwendet wird. Die meisten Softwareautoren signieren ihre Anwendungen mit dem PGP-Programm, z.B. GPG (GNU Privacy Guard).

GPG ist eine kryptographische Implementierung von OpenPGP und ermöglicht eine sichere Übertragung von Daten und kann auch zur Überprüfung der Integrität der Quelle verwendet werden. Auf ähnliche Weise können Sie GPG nutzen, um die Authentizität heruntergeladener Software zu überprüfen.

Die Überprüfung der Integrität der heruntergeladenen Software ist ein 5-stufiges Verfahren, das in der folgenden Reihenfolge erfolgt.

Herunterladen des öffentlichen Schlüssels des Autors der Software.
Überprüfen des Fingerabdrucks des Schlüssels.
Importieren des öffentlichen Schlüssels.
Laden Sie die Signaturdatei der Software herunter.
Überprüfen Sie die Signaturdatei.

In diesem Leitfaden werden wir Tixati – ein Peer-to-Peer-Filesharing-Programm – als Beispiel verwenden, um dies zu demonstrieren. Wir haben das Debian-Paket bereits von der offiziellen Download-Seite heruntergeladen.

Überprüfen Sie die PGP-Signatur von Tixati

Gleich zu Beginn werden wir den öffentlichen Schlüssel des Autors herunterladen, der zur Überprüfung aller Veröffentlichungen verwendet wird. Der Link zum Schlüssel befindet sich am Ende der Tixati-Download-Seite.

Rufen Sie in der Befehlszeile den öffentlichen Schlüssel mit dem Befehl wget ab, wie gezeigt.

$ wget https://www.tixati.com/tixati.key

Überprüfen Sie den Fingerabdruck des öffentlichen Schlüssels

Sobald der Schlüssel heruntergeladen wurde, besteht der nächste Schritt darin, den Fingerabdruck des öffentlichen Schlüssels mit dem Befehl gpg zu überprüfen, wie gezeigt.

$ gpg --show-keys tixati.key

Die hervorgehobene Ausgabe ist der Fingerabdruck des öffentlichen Schlüssels.

Importieren des GPG-Schlüssels

Sobald wir den öffentlichen Fingerabdruck des Schlüssels überprüft haben, importieren wir den GPG-Schlüssel. Dies muss nur einmal erfolgen.

$ gpg --import tixati.key

Laden Sie die Signaturdatei der Software herunter

Als nächstes werden wir die PGP-Signaturdatei herunterladen, die sich wie angegeben direkt neben dem Debian-Paket befindet. Die Signaturdatei trägt die Dateiendung .asc.

$ wget https://download2.tixati.com/download/tixati_2.84-1_amd64.deb.asc

Überprüfen der Signaturdatei

Überprüfen Sie abschließend die Integrität der Software anhand der Signaturdatei und anhand des Debian-Pakets, wie gezeigt.

$ gpg --verify tixati_2.84-1_amd64.deb.asc tixati_2.84-1_amd64.deb

Die Ausgabe der dritten Zeile bestätigt, dass die Signatur vom Autor der Software stammt, in diesem Fall Tixati Software Inc. Die obige Zeile enthält den Fingerabdruck, der mit dem Fingerabdruck des öffentlichen Schlüssels übereinstimmt. Dies ist eine Bestätigung der PGP-Signatur der Software.