Po sedmi letech vývoje byl vydán nástroj příkazového řádku sq 1.0, určený pro práci s artefakty OpenPGP. Nástroj byl připraven projektem Sequoia PGP, který také vyvíjí knihovnu funkcí s implementací standardu OpenPGP (RFC-4880). Vydání 1.0 je označeno jako první stabilní verze projektu, což znamená stabilizaci kódové základny a ukončení provádění změn, které by narušily kompatibilitu. Kód je napsán v jazyce Rust a je distribuován pod licencí GPLv2+.
Nástroj je součástí distribuce Red Hat Enterprise Linux 10 jako alternativa GnuPG, používá se pro práci s PGP v balíčkových manažerech DNF a RPM a je výchozím řešením v experimentální větvi balíčkového manažera APT, pokud jsou v systému k dispozici komponenty Sequoia. Server klíčů Hagrid vytvořený vývojáři Sequoia se používá v službě keys.openpgp.org.
Projekt Sequoia byl založen třemi vývojáři GnuPG z firmy g10code, specialisty na audit kryptosystémů a vývoj doplňků k GnuPG. Cílem projektu je přepracování architektury a implementace nových technik pro zvyšování bezpečnosti a spolehlivosti kódové základny. Kromě použití jazyka Rust pro snížení pravděpodobnosti chyb při práci s pamětí, Sequoia implementuje další ochranu před chybami na úrovni API. Například API neumožňuje náhodně exportovat materiál tajného klíče a chrání před opomenutím důležitých akcí při aktualizaci digitálního podpisu. Pro dodatečnou izolaci se používá oddělení jednotlivých procesů služeb, které pracují s veřejnými a soukromými klíči.
Kromě funkcí pro šifrování dat, práci s elektronickými podpisy a správu klíčů, podobných funkcím gpg, sq dále poskytuje decentralizovanou infrastrukturu veřejných klíčů (PKI). PKI se používá pro autentizaci certifikátů a zpráv a umožňuje ověřit, že přijatý veřejný klíč a zpráva jsou spojeny s uvedeným autorem, a nikoli vytvořeny útočníkem.
Při načítání certifikátu z keys.openpgp.org nebo jiného serveru klíčů nástroj sq automaticky uloží informace o certifikátu do místního systému a použije tyto informace při následných operacích pro detekci falešných certifikátů. Uvádí se, že implementovaný systém může být použit jako základ pro budování formy distribuovaného certifikačního úřadu (CA), pokrývajícího různé servery klíčů.
Například, před ověřením pravosti stažených verzí OS Qubes může uživatel nejprve zkontrolovat certifikát Qubes, který je poskytován z hlavního serveru klíčů projektu Qubes: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
Tento příkaz stáhne certifikát ze serveru keys.qubes-os.org a poté ověří jeho přítomnost na známých serverech klíčů, jako jsou keys.openpgp.org a keyserver.ubuntu.com, nebo se pokusí získat pomocí mechanismů WKD (Web Key Directory) a DANE (DNS-Based Authentication of Named Entities). Dále nástroj porovná získané certifikáty a pokud jsou spojeny se stejným vlastníkem, nabídne použít příkaz „sq pki link add“ k uložení certifikátu v místním systému pro následná ověření. Po uložení bude certifikát považován za důvěryhodný a pro stažení verzí s ověřením jejich pravosti bude stačit provést příkaz: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Zdroj: opennet.ru
