Kleopatra - Die Daten konnten nicht überprüft werden

[failXontour]

Hallo,

verstehe das irgendwie nicht. Um eine GPG-Signatur zu überprüfen benötige ich ja zum einen den Public-Key und zum anderen einen Private Key. Bei einer Software-Installation um also das ganze zu überprüfen, egal ob jetzt qBittorrent, diverse Linux ISO, Programme aus dem Internet suche ich also den öffentlichen Schlüssel Importiere diesen, vergleiche den mit dem entsprechenden Private Key, für das enstprechende Programm/Betriebssystem um die Signatur des/der Entwickler*innen zu überprüfen.

Wieso zeigt, dann aber Kleopatra folgendes an sobald man den (Private)key Entschlüsst/Überprüft an, das die Daten entsprechend nicht überprüft werden konnten.

Warum sagen jetzt einige Tutorials Online, dass sobald man jetzt den entsprechenden Dateinamen hier gesehen hat von einer verifizierten Datei reden kann? Liegt jetzt hier Kleopatra mit der Meldung falsch, ich, oder das Tutorial was ich mir angeschaut habe, oder ist die Meldung tatsächlich korrekt? Hilft mir das ganze hier weiter? Finde das etwas verwirrend.

Kann ich einfach nicht 2 und 2 zusammenzählen, oder habe ich das Prinzip nicht verstanden. Redet man hier, so oder so nicht eigentlich von keiner richtigen Überprüfung? Da man schließlich das ganze nicht wirklich von einer echten Person hat beglaubigen ließ (Edit: Also die Authenzität nicht gewährleistet ist). Jedenfalls ich nicht habe ja nur zwei Schlüssel miteinander vergleichen lassen.

Hoffe mir kann das jemand verständlich erklären? Ist das ganze den jetzt richtig Zertifiziert, schließlich steht ja auch es wurde durch den von mir eingefügten Public Key beglaubigt.

Edit: Ich lese mir mal nebenbei das Kompendium durch, dachte das funktioniert nicht da ich auf v2.02 des Kompendiums gegangen bin.

Wenn ich also mittels jetzt gpg in cmd dieses versuche zu Verfiziere kriege ich auch eine Warnung zurück. Das der Schlüssel keine Vertrauenswürdige Signatur enthält. Wie kann ich diese überprüfen?

C:\Users\Klosteinmann\Downloads>gpg --verify .\qbittorrent_4.3.9_x64_setup.exe.asc



gpg: die unterzeichneten Daten sind wohl in '.\qbittorrent_4.3.9_x64_setup.exe'
gpg: Signatur vom 31.10.2021 12:19:27 Mitteleuropische Zeit
gpg:                mittels RSA-Schlüssel D8F3DA77AAC6741053599C136E4A2D025B7CC9A2
gpg: Korrekte Signatur von "sledgehammer_999 (Used for signing git commits/tags/etc) <hammered999@gmail.com>" [unbekannt]
gpg:                     alias "sledgehammer999 (Used for signing qBittorrent source tarballs and binaries v2.) <sledgehammer999@qbittorrent.org>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = D8F3 DA77 AAC6 7410 5359  9C13 6E4A 2D02 5B7C C9A2

Mit freundlichen Grüßen
Klosteinmann

 

[0x8100]

die signatur passt zum schlüssel, allerdings traut dein gpg dem key nicht und liefert daher die warnung. du müsstest dem schlüssel trauen oder anderen schlüsseln, die diesen hier signiert haben - wer den schlüssel alles signiert hat, kannst du z.b. hier sehen. entweder traust du einen dieser leute oder du importierst den public key von "sledgehammer999" direkt oder du lässt es sein und lebst mit der warnung

 

[failXontour]

Glaube ich verstehe über den Keyserver kann ich die Schlüsselid nochmal überprüfen und vom wem, wie das ganze Signiert worden ist. Doch jetzt ganz ehrlich kann ich im ersten moment damit gar nichts anfangen. Sind für mich Böhmische Dörfer kenne ja keinen hier, weder weiß ich wie eine sichere Signatur auszusehen hat.

Ist das sogenannte Web of Trust System von OpenPGP? Das man daher entweder einer der vielen anderen PGP Nutzer vertrauen muss um entsprechend Dinge zu beglaubigen.

Ich glaube das möchte ich ungerne verwenden, da ich eigentlich nur die Sicherheit meiner Downloads bereiststellen möchte, meine Informationen wie die E-Mail Adresse möchte ich eigentlich gar nicht groß einsehbar und analysierbar haben. Nicht noch an mehr Stellen.

Habe gesehen das ich den Keyserver in Kleopatra & gpg ändern kann, würde sowas wie keys.openpgp.org einsetzen. Ist sowas sicher? Macht sowas sinn?

 

[0x8100]

du selbst musst bei gpg nicht mitmachen, um z.b. signierte downloads zu prüfen. du musst nur einmalig den public-key desjenigen importieren, der die datei signiert hat. das einzige haken hier ist, ob man diesem schlüssel trauen kann oder nicht - das musst du für dich entscheiden.