GPG dando uma assinatura ruim quando o email é baixado como .eml

Question

Estou tentando testar se alguém com uma cópia da minha chave pública gpg pode confirmar um e-mail assinado que recebeu de mim. Estou usando dois computadores para isso. No primeiro, eu tenho minha chave gerada e mutt instalada. Eu componho um email no mutt e assino com a chave correta. Eu também exporto uma cópia blindada da chave pública e a carrego em um site.

No segundo computador: faço o download de uma cópia da chave pública. Importar com gpg --import pub.key , o nome correto e o endereço de e-mail aparecem no chaveiro. Faça o login no serviço de webmail e baixe a mensagem como .eml e a assinatura como .asc. Quando colocado em gpg --verify signature.asc message.eml , recebo a seguinte mensagem:

gpg: Signature made Tue 01 Dec 2015 14:00:17 GMT using RSA key ID 4C45311
gpg: BAD signature from "My Name <[email protected]>"''

Então, tento fazer o download da mensagem e assinatura usando o mutt no primeiro computador e scp -los para o segundo. Eu recebo a mesma mensagem de gpg --verify . No entanto, quando eu abro a mensagem dentro do mutt ele diz boa assinatura.

Alguém sabe por que há uma diferença entre baixar o arquivo .eml e .asc e verificar diretamente com gpg e ver a mensagem assinada no mutt? Eu quero que outras pessoas que tenham uma cópia da minha chave pública, mas não necessariamente tenham o gpg incorporado em seu cliente de e-mail, possam verificar minhas mensagens.

Obrigado.

    

Answer 1

Se você não puder verificar uma assinatura sem um cliente de e-mail, mas funcionar bem no cliente de e-mail, alguma combinação infeliz de codificação e / ou encapsulamento estará em uso.

Uma combinação provável pode ser assinaturas de texto simples (portanto, não PGP / MIME) junto com codificação imprimível entre aspas em um email MIME. Enquanto o seu cliente de e-mail irá transformar a mensagem de volta para a mensagem original, o e-mail codificado para impressão não irá verificar (como é de fato diferente).

Provavelmente, não há solução canônica para o seu problema, mas enviar e-mails de texto simples não exigem codificação especial (limitando-se ao conjunto de caracteres ASCII de 7 bits e garantindo que seu cliente de e-mail não use codificação especial) ou simplesmente anexando a mensagem assinada ao email (use mensagens assinadas claras para colocar assinatura e mensagem em um único arquivo). No entanto, o Latter provavelmente quebrará a integração para aqueles que usam um cliente de email com integração para o OpenPGP.

De qualquer forma, eu suponho que quem quer que esteja usando o OpenPGP tenha um cliente de correio compatível com OpenPGP deve ser bastante seguro.