Cách xác minh chữ ký PGP của phần mềm đã tải xuống trên Linux

Khi cài đặt phần mềm trên hệ thống Linux thường rất suôn sẻ. Trong hầu hết các trường hợp, bạn sẽ sử dụng trình quản lý gói như apt, dnf hoặc Pacman để cài đặt nó một cách an toàn từ kho lưu trữ của bản phân phối của bạn.

Tuy nhiên, trong một số trường hợp, một gói phần mềm có thể không được bao gồm trong kho lưu trữ chính thức của bản phân phối. Trong các tình huống như vậy, người ta buộc phải tải xuống từ trang web của nhà cung cấp. Nhưng làm thế nào bạn chắc chắn rằng gói phần mềm không bị giả mạo? Đây là câu hỏi mà chúng tôi sẽ tìm cách trả lời. Trong hướng dẫn này, chúng tôi tập trung vào cách xác minh chữ ký PGP của gói phần mềm đã tải xuống trong Linux.

PGP (Pretty Good Privacy) là một ứng dụng mật mã được sử dụng để mã hóa và ký các tệp. Hầu hết các tác giả phần mềm ký đơn đăng ký của họ bằng chương trình PGP, ví dụ như GPG (GNU Privacy Guard).

GPG là một triển khai mật mã của OpenPGP và nó cho phép truyền dữ liệu an toàn và cũng có thể được sử dụng để xác minh tính toàn vẹn của nguồn. Theo cách tương tự, bạn có thể tận dụng GPG để xác minh tính xác thực của phần mềm đã tải xuống.

Việc xác minh tính toàn vẹn của phần mềm đã tải xuống là một quy trình gồm 5 bước theo thứ tự sau.

+ Đang tải xuống khóa công khai của tác giả phần mềm.

+ Kiểm tra dấu vân tay của chìa khóa.

+ Đang nhập khóa công khai.

+ Tải xuống tệp Chữ ký của phần mềm.

+ Xác minh tệp chữ ký.

Trong hướng dẫn này, chúng tôi sẽ sử dụng Tixati - một chương trình chia sẻ tệp ngang hàng - làm ví dụ để minh chứng điều này. Hiện tại, chúng tôi đã tải xuống gói Debian từ trang tải xuống ngoại tuyến.

Xác minh chữ ký PGP của Tixati

Ngay lập tức, chúng tôi sẽ tải xuống khóa công khai của tác giả được sử dụng để xác minh bất kỳ bản phát hành nào. Liên kết đến khóa được cung cấp ở cuối trang tải xuống Tixati.

Trên dòng lệnh, lấy Khóa công khai bằng lệnh wget như hình minh họa.

$ wget https://www.tixati.com/tixati.key

Kiểm tra vân tay của khóa công khai

Sau khi khóa được tải xuống, bước tiếp theo là kiểm tra vân tay của khóa công khai bằng lệnh gpg như hình minh họa.

$ gpg --show-keys tixati.key

Đầu ra được đánh dấu là vân tay của khóa công khai.

Nhập khóa GPG

Khi chúng tôi đã kiểm tra dấu vân tay công khai của khóa, chúng tôi sẽ nhập khóa GPG. Điều này chỉ cần được thực hiện một lần.

$ gpg --import tixati.key

Tải xuống tệp chữ ký của phần mềm

Tiếp theo, chúng tôi sẽ tải xuống tệp chữ ký PGP nằm ngay cạnh gói Debian như được chỉ ra. Tệp chữ ký có .asc phần mở rộng tệp.

$ wget https://download2.tixati.com/download/tixati_2.84-1_amd64.deb.asc

Xác minh tệp chữ ký

Cuối cùng, xác minh tính toàn vẹn của phần mềm bằng tệp chữ ký và gói Debian như hình.

$ Gpg --verify tixati_2.84-1_amd64.deb.asc tixati_2.84-1_amd64.deb

Trong trường hợp này, dòng thứ ba của Chữ ký xác nhận rằng từ tác giả của phần mềm, Tixati Software Inc.Dòng trên cung cấp dấu vân tay khớp với dấu vân tay của Khóa công khai. Đây là xác nhận chữ ký PGP của phần mềm.

Chúng tôi hy vọng rằng hướng dẫn này đã cung cấp thông tin chi tiết về cách bạn có thể tiến hành xác minh PGP của gói phần mềm đã tải xuống trong Linux.

+ Fanpage: https://www.facebook.com/nhanhoacom

+ Chỉ đường: https://g.page/nhanhoacom

+ Chương trình khuyến mãi mới nhất: https://nhanhoa.com/khuyen-mai.html

————————————————————

CÔNG TY TNHH PHẦN MỀM NHÂN HÒA

https://nhanhoa.com

Hotline: 1900 6680

Trụ sở chính: Tầng 4 - Tòa nhà 97-99 Láng Hạ, Đống Đa, Hà Nội

Tel: (024) 7308 6680 – Email: sales@nhanhoa.com

Chi nhánh TP. Hồ Chí Minh: 270 Cao Thắng (nối dài), Phường 12, Quận 10, Tp.HCM

Tel: (028) 7308 6680 – Email: hcmsales@nhanhoa.com

Chi nhánh Vinh - Nghệ An: Tầng 2 Tòa nhà Sài Gòn Sky, ngõ 26 Nguyễn Thái Học, phường Đội Cung, TP. Vinh, Nghệ An

Tel: 0915221384 – Email: contact@nhanhoa.com