Ders 5.41: Yukarı akış sürümlerini GnuPG ile doğrulamak
Çoğu açık kaynak proje bir sağlama listesi (SHA256SUMS) yayımlar ve o listeyi sürüm anahtarıyla imzalar. Eşleşen bir sağlama toplamı indirmenin bozulmadığını kanıtlar; listenin projeden geldiğini yalnızca imza kanıtlar. Laboratuvarda bir komut satırı aracının iki sürümünü indirdin: biri projeden, biri hızlı bir aynadan. Anahtarın parmak izini projenin web sitesiyle karşılaştırıyor, onu içe aktarıyor, imzalı listeyi doğruluyor, arşivleri denetliyor ve aynanın değiştirilmiş sürümünü ve yeniden yazılmış sağlama listesini yakalıyorsun.
16 dk
Bu derste öğreneceklerin
- Sağlama toplamı ile imza arasındaki farkı açıklamak
- Bir anahtarı içe aktarmadan önce parmak izini denetlemek
- Ayrık bir imzayı gpg --verify ile doğrulamak
- Dosyaları sha256sum -c ile denetlemek
- Kurcalanmış bir aynayı tanımak
Temel terimler
- Sağlama listesi
- SHA256SUMS: her sürüm dosyası için bir 'özet dosyaadı' satırı.
- Ayrık imza
- Başka bir dosya üzerinde OpenPGP imzası taşıyan ayrı bir dosya (.asc, .sig).
- Parmak izi
- Bir anahtarı tanımlayan karma; güvenilir bir kanaldan karşılaştır.
- Good / BAD imza
- Good: bu anahtar tam olarak bu içeriği imzaladı. BAD: içerik imzadan sonra değişti.
- --ignore-missing
- sha256sum -c seçeneği: listede olup bulunmayan dosyaları atla.
← Kapanış 2: yeniden kurulan sunucunun daha iyi olduğunu kanıtlamak · Tüm dersler · Paket analizi: bir cihazın gerçekte ne yaptığını bulmak →