.asc Dateien zur Verifizierung von Dateien

[lordg2009]

Hi,

mir geht es darum, Dateien auf github auf ihre Echtheit zu überprüfen. Im Folgenden, was ich bisher rausfinden konnte, damit niemand auf die Idee kommt, einen google-mich Link zu posten.

Auf github wird teilweise eine SHA256SUMS.asc mitgeliefert, mit welcher die binaries verifiziert werden können. Wenn ich die Datei mit dem Editor öffne steht die Prüfsumme in ASCII da und stimmt auch mit der errechneten Prüfsumme vom entsprechendem Archiv überein. Nun ist das ja aber nur die halbe Miete. Wenn jemand Zugriff auf den github Account bekommt, kann er ja asc-Datei und Archiv fälschen. Am Ende der asc Datei ist noch eine PGP Signatur. Anscheinend kann man mit gpg --verify das release mit der asc-Datei überprüfen. Das ging bei mir nicht, wahrscheinlich fehlt mir der öffentliche Schlüssel des signierenden Entwicklers.

Ist das soweit korrekt?
Wo bekomme ich diesen öffentlichen Schlüssel her?

Vielen Dank für eure Hilfe

 

[Tumbleweed]

Das ist korrekt, aber die Frage nach dem Schlüssel ist schwer zu beantworten, ohne zu wissen, um welches Repo es sich handelt. Wenn es eine zugehörige Website gibt, könnte es sein, dass du dort den passenden Schlüssel findest, ausgeliefert per https mit gültigem Zertifikat.

Theoretisch könntest du den Key auch auf irgendeinem öffentlichen Keyserver finden oder die E-Mail des Commit-Autors anschreiben und danach fragen. Allerdings sind beide Wege nicht sonderlich vertrauenswürdig. Download von der Website ist da immer noch der gangbarste Weg.

 

[lordg2009]

Ah, habe es jetzt gefunden. Die öffentlichen gpg Schlüssel waren mit im github Verzeichnis. Ein Entwickler hat mir den Fingerabdruck bestätigt, ich habe den Schlüssel zu Kleopatra hinzugefügt und konnte anschließend die SHA256SUMS.asc verifizieren, die die SHA256 hashs der binaries enthielt. Gibt es da eine automatische Möglichkeit, dem Programm die SHA256SUMS.asc und die zu testende Datei zu übergeben und angezeigt zu bekommen, ob die Datei unverändert ist, oder müssen diese Schritte immer separat durchgeführt werden?

 

[Tumbleweed]

Hmm naja so was ist ein 2-Zeiler in Bash. Dafür lohnt ein aufwändiges Programm kaum. Müsste ich das öfter machen, würde ich mir ein Bash-Script in den PATH legen oder einen Alias anlegen. Wenn du unter Windows unterwegs bist, geht das bestimmt auch mit der Powershell in wenigen Zeilen.