كيف يمكنني التحقق من توقيع PGP؟

لا يتم استخدام PGP فقط لتأمين المعلومات من التهديدات السيبرانية ولكن أيضًا للتحقق من سلامة الملفات.

يشرح هذا البرنامج التعليمي بسهولة كيفية عمل PGP و كيفية التحقق من تواقيع PGP .

كيف يعمل PGP

الصورة أدناه تصور مفتاح PGP العمومي. يمكن فك تشفير مفتاح PGP العام هذا فقط باستخدام مفتاح PGP خاص معين. أصدر مُصدر المفتاح العام أدناه أيضًا مفتاح PGP خاصًا نظرًا لأنه يتم إنشاؤه في نفس العملية. يشترك فقط في المفتاح العام.
إذا أخذت مفتاحه العمومي لتشفير رسالة إليه ، فسيكون قادرًا على فك تشفير الرسالة باستخدام مفتاحه الخاص. يمكن فقط لمفتاحه الخاص فك تشفير الرسالة التي قمت بتشفيرها باستخدام مفتاحه العام.

يتم تشفير المعلومات باستخدام المفتاح العام وفك تشفيرها باستخدام المفتاح الخاص. هذا يسمي تشفير غير متماثل .

لذلك حتى إذا تمكن المهاجم من اعتراض الرسالة بدون المفتاح الخاص ، فلن يتمكن من رؤية محتوى الرسالة.

ميزة التشفير غير المتماثل هي بساطة تبادل المفاتيح. لكن عيبه هو أنه لا يمكنه تشفير كميات كبيرة من البيانات ، ولهذا السبب يقوم PGP بتنفيذ كلاهما.

يتم تطبيق التشفير المتماثل عند استخدام المفتاح العام لتشفير البيانات المحمية. باستخدام المفتاح العام ، يقوم المرسل بعمل شيئين: أولاً ، يقوم بإنشاء التشفير المتماثل لحماية البيانات ، ثم يقوم بتطبيق التشفير غير المتماثل ، والذي لا يقوم بتشفير البيانات نفسها ، ولكن المفتاح المتماثل الذي يحمي البيانات.

لكي تكون أكثر تقنية ، قبل تطبيق المفتاح المتماثل ، يتم ضغط البيانات أيضًا قبل تشفيرها بالمفتاح المتماثل والمفتاح العام. يوضح تدفق الرسم البياني التالي العملية برمتها:

تواقيع PGP

يستخدم PGP أيضًا للتحقق من سلامة الحزم. يتم تحقيق ذلك من خلال التوقيع الرقمي ، والذي يمكن القيام به باستخدام PGP.

أولاً ، يُنشئ PGP تجزئة مشفرة بالمفتاح الخاص. يمكن فك تشفير كل من المفتاح الخاص والتجزئة باستخدام المفتاح العام.

ينشئ PGP توقيعًا رقميًا ، على سبيل المثال ، لصورة ISO باستخدام خوارزميات DSA أو RSA. في هذه الحالة ، يتم إرفاق المفتاح الخاص بالبرنامج أو صورة ISO ، على عكس العملية الموضحة مسبقًا. المفتاح العمومي مشترك أيضًا.

يستخدم المستخدمون المفتاح العام للتحقق من التوقيع المرفق بالبرنامج المُصدر.

يوضح تدفق الرسم البياني التالي كيفية إرفاق المفتاح الخاص والتجزئة بالبرنامج وكيف يأخذ المستخدم البرنامج مع التجزئة المرفقة والمفتاح الخاص جنبًا إلى جنب مع المفتاح العام للتحقق من التوقيع:

كيف يمكنني التحقق من توقيع PGP؟

يوضح المثال الأول كيفية التحقق من توقيع Linux kernel. لتجربتها ، قم بالوصول https://kernel.org وتنزيل إصدار kernel وملف PGP الخاص به. في هذا المثال ، سوف أقوم بتنزيل الملفات لينكس 5.12.7.tar.xz و لينكس 5.12.7.ar.sign .

يوضح المثال الأول كيفية التحقق من التوقيع بأمر واحد. وفقًا لصفحة الدليل ، سيتم إهمال مجموعة الخيارات هذه في الإصدارات المستقبلية. ومع ذلك ، لا يزال يتم استخدامه على نطاق واسع ، وبينما سيتم إهمال النسخة المحددة ، ستظل الخيارات قائمة.

الخيار الأول - خيارات خادم المفاتيح يسمح بتحديد خيارات خادم المفاتيح حيث يتم تخزين المفاتيح العامة. في الأساس ، هذا يسمح بتنفيذ خيارات جلب المفاتيح العامة.

ال - خيارات خادم المفاتيح يتم دمجه مع - استرداد مفتاح تلقائي خيار لاسترداد المفاتيح العامة تلقائيًا من خادم المفاتيح عند التحقق من التوقيعات.

للعثور على المفاتيح العامة ، سيقرأ هذا الأمر التوقيع بحثًا عن خادم مفاتيح مفضل محدد أو معرف الموقع من خلال عملية بحث باستخدام دليل مفاتيح الويب.

كما ترى ، فإن التوقيع جيد ، ولكن هناك رسالة تحذير تفيد بأن gpg لا يمكنه تأكيد أن التوقيع يخص المالك. يمكن لأي شخص إصدار توقيع عام باسم Greg Krohan-Hartman. أنت تعلم أن التوقيع شرعي لأنك تثق في الخادم الذي قمت بتنزيله منه. في هذه الحالة ، يتم تحديده في .sign الذي تم تنزيله من kernel.org.
هذا التحذير موجود دائمًا ، ويمكنك تجنبه عن طريق إضافة تواقيع إلى قائمة التوقيعات الموثوقة باستخدام الخيار –تحرير مفتاح الثقة . الحقيقة هي أن أي مستخدم لا يفعل ذلك ، وقد طلب مجتمع Gpg إزالة التحذير.

التحقق من SHA256SUMS.gpg

في المثال التالي ، سوف أتحقق من سلامة صورة Kali Linux القديمة التي وجدتها في صندوقي. لهذا الغرض ، قمت بتنزيل ملفات SHA256SUMS.gpg و SHA256SUMS التي تنتمي إلى نفس صورة iso.

بمجرد تنزيل صورة iso و SHA256SUMS.gpg و SHA256SUMS ، فأنت بحاجة إلى الحصول على المفاتيح العامة. في المثال التالي ، أحضر المفاتيح باستخدام wget و gpg – import (رابط تعليمات التحقق من Kali إلى خادم المفتاح هذا).

ثم أتحقق من سلامة الملف عن طريق استدعاء gpg بامتداد -تحقق جدال:

كما ترى ، التوقيع جيد ، والتحقق كان ناجحًا.

يوضح المثال التالي كيفية التحقق من تنزيل NodeJS. يقوم الأمر الأول بإرجاع خطأ لأنه لا يوجد مفتاح عام. يشير الخطأ إلى أنني بحاجة إلى البحث عن المفتاح 74F12602B6F1C4E913FAA37AD3A89613643B6201. عادة ، يمكنك أيضًا العثور على معرّف المفتاح في التعليمات.

باستخدام الخيار - خادم المفاتيح ، يمكنني تحديد الخادم للبحث عن المفتاح. باستخدام الخيار –recv- مفاتيح ، أسترجع المفاتيح. ثم يعمل التحقق:

أنسخ المفتاح الذي أحتاج إلى إحضاره ، ثم أقوم بتشغيل:

البحث في مفاتيح gpg:

إذا لم تعمل مفاتيح الاسترداد التلقائي ولم تتمكن من العثور على الإرشادات الخاصة بالتحقق ، فيمكنك البحث عن المفتاح في خادم المفاتيح باستخدام الخيار - مفتاح البحث .

كما ترى ، تم العثور على المفتاح. يمكنك أيضًا استعادته عن طريق الضغط على رقم المفتاح الذي تريد استرداده.

استنتاج

قد يؤدي التحقق من سلامة التنزيلات إلى منع حدوث مشكلات خطيرة أو تفسيرها ، على سبيل المثال ، عندما لا يعمل البرنامج الذي تم تنزيله بشكل صحيح. عملية gpg سهلة للغاية ، كما هو موضح أعلاه ، طالما أن المستخدم يحصل على جميع الملفات الضرورية.

يعد فهم التشفير غير المتماثل أو التشفير المستند إلى المفاتيح العامة والخاصة ضرورة أساسية للتفاعل بأمان على الإنترنت ، على سبيل المثال ، باستخدام التوقيعات الرقمية.

آمل أن يكون هذا البرنامج التعليمي حول توقيعات PGP مفيدًا. استمر في اتباع Linux Hint للحصول على مزيد من النصائح والبرامج التعليمية حول Linux.