Gpg के साथ हस्ताक्षर पर विश्वास करना?

Question

हम अपने सिस्टम कॉन्फ़िगरेशन प्रबंधन टूल के कुछ पहलुओं को सत्यापित करने के लिए gpg हस्ताक्षर का उपयोग करना चाहते हैं। इसके अतिरिक्त, हम एक "ट्रस्ट" मॉडल का उपयोग करना चाहते हैं जहां व्यक्तिगत sysadmin कुंजी एक मास्टर साइनिंग कुंजी के साथ हस्ताक्षरित होती है, और फिर हमारे सिस्टम उस मास्टर कुंजी पर भरोसा करते हैं (और हमारे sysadmins द्वारा हस्ताक्षर को मान्य करने के लिए "विश्वास की वेब" का उपयोग करते हैं)।

यह हमें बहुत लचीलापन प्रदान करता है, जैसे कि किसी के जाने पर चाबी पर आसानी से विश्वास को फिर से जगाने की क्षमता, लेकिन हम एक समस्या में चले गए हैं। जबकि gpgकमांड आपको बताएगी कि क्या कोई कुंजी अविश्वासित है, तो यह इस तथ्य को इंगित करते हुए एक एक्जिट कोड वापस नहीं करता है। उदाहरण के लिए:

# gpg -v < foo.asc
Version: GnuPG v1.4.11 (GNU/Linux)
gpg: armor header: 
gpg: original file name=''
this is a test
gpg: Signature made Fri 22 Jul 2011 11:34:02 AM EDT using RSA key ID ABCD00B0
gpg: using PGP trust model
gpg: Good signature from "Testing Key <[e-mail]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: ABCD 1234 0527 9D0C 3C4A  CAFE BABE DEAD BEEF 00B0
gpg: binary signature, digest algorithm SHA1

जिस हिस्से की हमें परवाह है वह यह है:

gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.

विश्वास की विफलता के बावजूद, इस मामले में gpg द्वारा दिया गया निकास कोड 0 है:

# echo $?
0

हम उस घटना में विफल होने के लिए gpg कैसे प्राप्त करते हैं कि किसी चीज़ पर हस्ताक्षर नहीं किए गए हैं?

मैंने कुछ सुझाव देखे हैं कि gpgvकमांड एक उचित निकास कोड लौटाएगा, लेकिन दुर्भाग्य से gpgvपता नहीं है कि चाबियों से चाबी कैसे निकाली जाए। मुझे लगता है कि हम स्थिति आउटपुट (-status-fd का उपयोग करके) को पार्स कर सकते हैं gpg, लेकिन क्या कोई बेहतर तरीका है?

Answer 1

यह वही है जिसके साथ समाप्त हुआ:

#!/bin/sh

tmpfile=$(mktemp gpgverifyXXXXXX)
trap "rm -f $tmpfile" EXIT

gpg --status-fd 3 --verify "$@" 3> $tmpfile || exit 1
egrep -q '^\[GNUPG:] TRUST_(ULTIMATE|FULLY)' $tmpfile

यह ट्रस्ट जानकारी के लिए दिखता है जो gpgआउटपुट देता है --status-fd। स्क्रिप्ट एक बिना हस्ताक्षर (या अमान्य / कोई हस्ताक्षर) की उपस्थिति में त्रुटि के साथ बाहर निकलती है:

$ sh checksig sample.sh.bad 
gpg: Signature made Mon 24 Jun 2013 11:42:58 AM EDT using RSA key ID DCD5C569
gpg: Good signature from "Test User <[e-mail]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 6FCD 3CF0 8BBC AD50 662E  5070 E33E D53C DCD5 C569
$ echo $?
1

स्क्रिप्ट एक वैध, विश्वसनीय हस्ताक्षर की उपस्थिति में कोई त्रुटि नहीं है:

$ sh checksig sample.sh.good
gpg: Signature made Mon 24 Jun 2013 11:38:49 AM EDT using RSA key ID 5C2864A8
gpg: Good signature from "Lars Kellogg-Stedman <...>"
$ echo $?
0

Answer 2

तो मुझे इस मुद्दे को विभाजित करने की कोशिश करते हैं:

पहला मुद्दा यह लगता है कि आपके द्वारा परीक्षण की जा रही कुंजी अविश्वसनीय है।

gpg -v < test.txt.asc 
gpg: armor header: Version: GnuPG v1.4.11 (GNU/Linux)
gpg: original file name='test.txt'
this is a test
gpg: Signature made Thu 11 Aug 2011 09:09:35 PM EST using RSA key ID FE1B770E
gpg: using PGP trust model
gpg: Good signature from "John Doe <[e-mail]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 5DD8 216D ADB1 51E8 4326  3ACA 1DED BB72 FE1B 770E
gpg: binary signature, digest algorithm SHA1

मुझे लगा कि यह जानबूझकर किया गया है ... लेकिन इससे पहले कि हम ठीक करें, मुझे सुझाव दें कि आप gpg -v के बजाय gpgv का उपयोग करें ? आप एक मिनट में क्यों देखेंगे:

$ gpgv < test.txt.asc 
gpgv: keyblock resource `/user/.gnupg/trustedkeys.gpg': file open error
gpgv: Signature made Thu 11 Aug 2011 09:09:35 PM EST using RSA key ID FE1B770E
gpgv: Can't check signature: public key not found

$ echo $?
2

कोई कुंजी नहीं, कोई भरोसा नहीं ... नहीं, हम कुंजी को Trustkeys.gpg में आयात करते हैं

$ gpg --no-default-keyring --keyring trustedkeys.gpg --import jdoe_pub.gpg
gpg: keyring `/user/.gnupg/trustedkeys.gpg' created
gpg: key FE1B770E: public key "John Doe <[e-mail]>" imported
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)
$ gpgv < test.txt.asc 
gpgv: Signature made Thu 11 Aug 2011 09:09:35 PM EST using RSA key ID FE1B770E
gpgv: Good signature from "John Doe <[e-mail]>"

$ echo $?
0

आशा करता हूँ की ये काम करेगा

Comments

मैंने अपने प्रश्न में gpgv पर टिप्पणी की - gpgv के साथ समस्या यह है कि जब यह एक अधिक उपयोगी त्रुटि कोड वापस करता है, तो यह नहीं जानता कि एक कीसर से कुंजियों को कैसे लाया जाए।

— लार्क्स

Answer 3

दो विकल्प दिमाग में आते हैं (आउटपुट पार्स करने के अलावा)।

एक त्वरित और गंदा तरीका दोनों को चलाने के लिए होगा gpgऔर gpgv। पहले रन से gpgयह सुनिश्चित होता है कि कुंजी को पर्यवेक्षक से प्राप्त किया गया था, और फिर gpgvआपको वह रिटर्न कोड देगा जो आप चाहते हैं।

हस्ताक्षर को सत्यापित करने के लिए gpgme पुस्तकालय का उपयोग करने के लिए एक अधिक सुरुचिपूर्ण, नियंत्रित तरीका (हालांकि इसमें अधिक काम शामिल होगा) होगा । यह एक सी लाइब्रेरी है, हालांकि पर्ल , पीएचपी , पायथन और रूबी के लिए रैपर हैं । (पायथन एक काफी निम्न स्तर है, जबकि रूबी एक में कुछ उच्च स्तर के सार हैं, पर्ल या पीएचपी के बारे में निश्चित नहीं हैं)।

जब मैंने इसका उपयोग किया है, तब GPGME लाइब्रेरी चाबियों से बात करती दिखाई देती है, हालाँकि आप इस बात की पुष्टि करना चाहते हैं। मैंने थोड़ा सा कोड लिखा है जो माणिक gpgme लाइब्रेरी (खोज के लिए verifyऔर verified_ok?कोड के लिए खोज करता है जो एक हस्ताक्षर की पुष्टि करता है, और sig_output_linesकुछ कोड के लिए जो एक हस्ताक्षर पर भरोसा है कि बाहर काम करता है) का उपयोग करता है।

Answer 4

कठपुतली या बावर्ची जैसे उपकरण के लिए अपने सिस्टम कॉन्फ़िगरेशन को माइग्रेट करने के बारे में क्या ?

गैर-तुच्छ काम करते समय, शेफ (मैंने पपेट का उपयोग नहीं किया है) आपको उपयोगकर्ता खाते (और पब / निजी कुंजी उत्पन्न होती हैं) बनाने होंगे। हालांकि यह लोगों को सर्वर पर स्थानीय फ़ाइलों को संशोधित करने से नहीं रोकता है, शेफ-क्लाइंट समय-समय पर चलता है, और अगले रन पर उनके परिवर्तनों को ओवरराइट करेगा। (डिफ़ॉल्ट रूप से आवधिक आवर्ती रन होता है।)