GPGSignaturen

GPGSignaturen beziehen sich auf digitale Signaturen, die mit GnuPG erzeugt werden und dem OpenPGP-Standard folgen. Eine GPGSignatur bestätigt die Authentizität des Erstellers und die Integrität der signierten Daten. Sie wird mit dem privaten Schlüssel des Signierenden erzeugt und kann mit dem entsprechenden öffentlichen Schlüssel verifiziert werden.

Signaturen können auf verschiedene Weise an Daten angehängt werden: inline, clearsigned oder als detached signatures. OpenPGP unterstützt verschiedene Signaturalgorithmen (RSA, DSA, elliptische Kurven wie EdDSA; Ed25519 ist verbreitet) sowie Hash-Funktionen wie SHA-256. Zur Übertragung in textuellen Medien kommt oft ASCII Armor zum Einsatz.

Die Vertrauensbildung erfolgt häufig über das Web of Trust: Schlüssel werden von Nutzern signiert, wodurch Vertrauensstufen entstehen. Nutzer können den Schlüsseln unterschiedliche Vertrauensgrade zuweisen (zum Beispiel unknown, marginal, full oder ultimate). Die Schlüsselverwaltung umfasst das Erstellen eines Schlüsselpaares, den Export/Import öffentlicher Schlüssel, das Schützen des privaten Schlüssels durch eine Passphrase und das Erstellen eines Revoke-Certificates bei Bedarf.

Die Verifikation erfolgt mit Befehlen wie gpg --verify oder gpg --verify in Verbindung mit dem signierten Inhalt. Für Softwarepakete ist es üblich, neben der Signatur auch einen separaten Hashwert zu veröffentlichen. Sicherheitshinweise umfassen die Verifizierung von Signaturen aus zuverlässigen Quellen, die außerbandliche Bestätigung von Schlüsseln, die sichere Aufbewahrung privater Schlüssel und regelmäßige Schlüsselrotationen und Verfallsdaten.