Como se verifica as assinaturas de checksum PGP RSA e / ou DSA para putty?

Question

Para verificar a integridade do download de putty , como é a melhor maneira de verificar primeiro o "SHA-512: (RSA sig) (DSA sig) "Assinatura PGP desses arquivos de soma de pagamento para massa? (estou supondo que "sig" significa assinado.)

Da página de download de massa:

MD5:        md5sums     (or by FTP)     (RSA sig)   (DSA sig)
SHA-1:      sha1sums    (or by FTP)     (RSA sig)   (DSA sig)
SHA-256:    sha256sums  (or by FTP)     (RSA sig)   (DSA sig)
SHA-512:    sha512sums  (or by FTP)     (RSA sig)   (DSA sig)

Eu já sei como verificar a verificação de texto simples soma (sha512sums) usando algo como HashSlash , mas estou interessado no RSA / DSA assinou checksums (acima à direita).

Quando eu abro o arquivo sig DSA baixado com um editor de texto, a primeira linha é "----- BEGIN MENSAGEM ASSINADA DO PGP -----".

Então eu fui para o site do PGP e explodi no que parecia ser a versão mais recente para janelas PGP 8.0 . Mas ele me clicou no site da Symantec, onde eles vendem produtos "Powered by PGP Technology", que não se parece com o que estou procurando.

Então, qual é a melhor maneira de verificar essas assinaturas PGP de soma total atualmente?

Agradecemos antecipadamente por sua ajuda.

Notas:

• Eu preciso de massa para logins SSH no host do meu site.
• As outras versões disponíveis do PGP parecem bem antigas.

Answer 1

A ferramenta mais popular é o GnuPG , normalmente uma ferramenta de linha de comando, mas o tem um pacote de GnuPG para Windows junto com duas interfaces gráficas.

$ gpg --verify putty.exe.DSA putty.exe
gpg: Signature made 2013-08-06T20:21:29 EEST
gpg:                using DSA key FECD6F3F08B0A90B
gpg: Good signature from "PuTTY Releases (DSA) " [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 00B1 1009 38E6 9800 6518  F0AB FECD 6F3F 08B0 A90B

(Eu importei a chave pública do assinante antes. Você precisará fazer isso também, assim como encontrar uma maneira de ter certeza de que você tem a chave correta e não uma falsa ...)

Embora a PGP Corporation tenha sido comprada pela Symantec há muito tempo, entre seus vários produtos baseados em PGP ainda é possível encontrar versões de avaliação de Symantec Desktop Email Encryption e Symantec Encryption Desktop Corporate , que são uma continuação do PGP original para Windows e comercial PGP Desktop 8.x – 9.x.

Versões de teste do PGP Desktop 8.x podem ser encontradas em vários lugares. É provável que 7.x funcione muito bem para verificar as assinaturas, mesmo que não tenha correções de segurança e atualizações.