O que torna os chaveiros OpenPGP confiáveis?

1

Comecei a ler o livro Linux From Scratch e, nos primeiros capítulos, você precisa fazer o download das fontes de todos os pacotes de software necessários durante a instalação. O livro fornece md5sums para "verificar" que os downloads funcionaram, mas, do ponto de vista de segurança, isso obviamente não é suficiente.

Como uma grande parte da instalação do LFS é aprender como as coisas funcionam, decidi que queria verificar as assinaturas dos meus tarballs de origem (ou pelo menos alguns deles). Então eu fui para o servidor GNU FTP ( https://ftp.gnu.org/ ), e eles exigem que você baixe seu chaveiro do ftp://ftp.gnu.org/gnu/gnu-keyring.gpg que contém chaves públicas de muitos desenvolvedores para verificar as assinaturas do tarball.

Minha pergunta agora é: o que torna esse chaveiro confiável? Tanto quanto eu posso ver (e eu suponho que estou com alguma coisa), ainda há um único ponto de falha, ou seja, o servidor FTP da GNU. Se um atacante assumisse o controle daquele servidor, ele poderia simplesmente incluir sua própria chave pública no chaveiro e então começar a assinar seus próprios tarballs maliciosos, certo?

O próprio chaveiro está assinado com outra chave pública pertencente ao projeto GNU ou há alguma outra camada de segurança que está faltando?

    
por PawkyPenguin 11.11.2016 / 00:05

1 resposta

1

Geralmente, as chaves são validadas no OpenPGP através da rede de confiança. Esta é uma rede que consiste em diferentes chaves e certificações emitidas entre elas. Seguindo esses caminhos (chamados caminhos de confiança), você pode estender o conjunto de chaves que você confia.

Você sempre precisa de algum tipo de âncora de confiança: você precisa ter certeza sobre alguma (s) chave (s), que você já validou. Muitas vezes, isso é feito em conferências que hospedam os principais assinantes. Você também pode confiar em alguns servidores (por exemplo, com base na criptografia de transporte), mas isso é exatamente o que você tenta não fazer.

Além da confiança explícita, há também o conceito de "TOFU": confiança no primeiro uso . Um invasor dificilmente será capaz de fornecer pacotes de software manipulados em diferentes canais de distribuição e por um longo período. Tente encontrar fontes da chave que você já está usando (por exemplo, em uma distribuição do Linux que você pegou há anos ou em DVDs antigos de revistas de informática). Há cópias hospedadas em algum tipo de repositório de software que não esteja sob controle direto do projeto original? O archive.org está listando a chave OpenPGP desde anos? Pergunte aos amigos se eles têm vestígios das chaves. A maioria das distribuições Linux envia um conjunto inteiro de chaves usadas para assinar o software.

Isso não é nada fácil de fazer, e envolve bastante trabalho, mas se você quiser validar uma assinatura corretamente, não há outro jeito.

    
por 11.11.2016 / 22:16