Este tutorial explica um processo claro e passo a passo de 1 minuto para verificar se um arquivo em sua posse foi assinado digitalmente por uma chave secreta GPG específica e não foi modificado desde o momento da assinatura.
Passos
Parte 1 de 2: baixando o que você precisa
Para verificar se você acredita que alguém assinou um arquivo, você precisará de uma cópia da chave pública dessa pessoa, uma cópia do arquivo e uma cópia do arquivo de assinatura que foi supostamente criado por meio da interação da chave secreta da pessoa e a Arquivo.
Etapa 1. Adquira a chave pública
Importe a chave pública para o GPG
Etapa 2. Adquira uma cópia do arquivo em questão
Salve-o em uma pasta
Etapa 3. Adquira uma cópia do arquivo de assinatura em questão
Salve-o na mesma pasta
Parte 2 de 2: Usando GPG para verificar se a chave secreta de alguém assinou o arquivo em questão
O GPG o ajudará a verificar a relação entre seus três arquivos.
Etapa 1. Abra uma interface de linha de comando
Mude o diretório de trabalho para a pasta onde seu arquivo e o arquivo de assinatura são salvos
Etapa 2. Verifique a assinatura
- Digite o seguinte comando em uma interface de linha de comando:
-
gpg --verify [arquivo de assinatura] [arquivo]
- Por exemplo, se você adquiriu
- (1) o Chave pública 0x416F061063FEE659,
- (2) o pacote do navegador Tor Arquivo (tor-browser.tar.gz), e
- (3) o arquivo de assinatura postado junto com o arquivo Tor Browser Bundle (tor-browser.tar.gz.asc),
- Você digitaria o seguinte:
-
gpg --verify tor-browser.tar.gz.asc tor-browser.tar.gz
Aviso
- Embora agora você tenha certeza de que a chave secreta vinculada à chave pública que você possui foi usada para assinar o arquivo, você ainda deve tomar precauções para garantir que esta chave pública realmente pertence à pessoa a quem você acredita que pertence. Nada impede que um adversário faça chaves que aparecer pertencer a alguém.
- Se você não importou a chave pública de alguém para seu chaveiro GPG, este procedimento não funcionará.
- A pessoa pode nomear o arquivo de assinatura como quiser: os nomes do arquivo e do arquivo de assinatura não precisam ser semelhantes ou relacionados.
