След седем години разработка е издадена версия 1.0 на инструмента за команден ред sq, предназначен за работа с артефактите на OpenPGP. Инструментът е подготовен от проекта Sequoia PGP, който също разработва библиотека с функции за имплементиране на стандарта OpenPGP (RFC-4880). Издание 1.0 е отбелязано като първия стабилен релиз на проекта, означаващ стабилизиране на кодовата база и прекратяване на промени, които нарушават съвместимостта. Кодът е написан на Rust и се разпространява под лиценз GPLv2+.
Инструментът е включен в дистрибуцията на Red Hat Enterprise Linux 10 като алтернатива на GnuPG, използва се за работа с PGP в пакетните мениджъри DNF и RPM, и е по подразбиране в експерименталната версия на пакетния мениджър APT при наличието на компоненти на Sequoia в системата. Създаденият от разработчиците на Sequoia ключов сървър Hagrid се използва в услугата keys.openpgp.org.
Проектът Sequoia е създаден от трима разработчици на GnuPG от компанията g10code, специализирана в одита на криптосистеми и разработката на добавки към GnuPG. Целта на проекта е преосмисляне на архитектурата и внедряване на нови техники за повишаване на сигурността и надеждността на кодовата база. Освен използването на Rust за намаляване на вероятността от грешки при работа с паметта, в Sequoia е реализирана допълнителна защита срещу грешки на ниво API. Например, API не позволява случайно експортиране на материал от секретния ключ и осигурява защита срещу пропуск на важни действия при обновление на цифровия подпис. За допълнителна изолация се използва разделение в отделни процеси на услугите, работещи с открити и затворени ключове.
Освен функциите за шифроване на данни, работа с електронни подписи и управление на ключове, подобни на възможностите на gpg, sq предлага и децентрализирана инфраструктура за открити ключове (PKI). PKI се използва за аутентификация на сертификати и съобщения и позволява да се уверите, че получените открит ключ и полученото съобщение са свързани с обявения автор, а не са създадени от злоумишленик.
При изтегляне на сертификат от keys.openpgp.org или друг сървър за ключове, утилитата sq автоматично ще запази информацията за сертификата на локалната система и ще използва тези данни при последващи операции за откриване на фалшиви сертификати. Забелязва се, че реализираната система може да се използва като основа за изграждане на подобие на разпределен удостоверяващ център (CA), обхващащ различни сървъри за ключове.
Например, преди проверка на автентичността на изтеглените сборки на ОС Qubes, потребителят може първо да провери сертификата на Qubes, предоставен от основния сървър за ключове на проекта Qubes: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
Посочената команда ще изтегли сертификат от сървъра keys.qubes-os.org, след което ще провери наличието му на известни сървъри за ключове, като keys.openpgp.org и keyserver.ubuntu.com, или ще се опита да го получи чрез механизмите WKD (Web Key Directory) и DANE (DNS-Based Authentication of Named Entities). След това утилитата ще сравни получените сертификати и ако те са свързани с един собственик, ще предложи да използва командата „sq pki link add“ за запазване на сертификата на локалната система за последващи проверки. След запазване сертификатът ще се счита за надежден и за изтегляне на сборки с проверка на тяхната автентичност, ще е достатъчно да изпълните командата: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Източник: opennet.ru
