Efter syv års udvikling er version 1.0 af kommandolinjeværktøjet sq blevet frigivet til arbejde med OpenPGP-artefakter. Værktøjet er udviklet af Sequoia PGP-projektet, som også udvikler et funktionsbibliotek med implementering af OpenPGP-standarden (RFC-4880). Udgivelsen af version 1.0 markerer den første stabile version af projektet, hvilket indebærer stabilisering af kodebasen og ophør af ændringer, der bryder bagudkompatibiliteten. Koden er skrevet i Rust og distribueres under GPLv2+-licensen.
Værktøjet er inkluderet i distributionen af Red Hat Enterprise Linux 10 som et alternativ til GnuPG, det bruges til at arbejde med PGP i pakkehåndtererne DNF og RPM, og anvendes som standard i den eksperimentelle gren af pakkehåndteren APT, når Sequoia-komponenter er tilgængelige i systemet. Den nøgleserver, der er oprettet af Sequoias udviklere, Hagrid, anvendes på tjenesten keys.openpgp.org.
Sequoia-projektet er oprettet af tre udviklere af GnuPG fra firmaet g10code, som specialiserer sig i revision af kryptosystemer og udvikling af udvidelser til GnuPG. Projektets mål er at redesignse arkitekturen og implementere nye teknikker til at øge sikkerheden og pålideligheden af kodebasen. Ud over brugen af Rust for at reducere sandsynligheden for hukommelsesfejl, implementerer Sequoia ekstra fejlbeskyttelse på API-niveau. For eksempel tillader API'et ikke utilsigtet eksport af materialet fra den hemmelige nøgle og beskytter mod at springe vigtige handlinger over i opdateringen af den digitale underskrift. For yderligere isolering anvendes procesopdeling for de tjenester, der arbejder med åbne og lukkede nøgler.
Ud over funktionerne til datakryptering, arbejde med elektroniske underskrifter og nøgleadministration, der ligner mulighederne i gpg, tilbyder sq desuden en decentraliseret infrastruktur for offentlige nøgler (PKI). PKI bruges til autentificering af certifikater og meddelelser og sikrer, at den modtagne offentlige nøgle og den accepterede meddelelse er knyttet til den angivne forfatter og ikke er genereret af en angriber.
Når certifikatet downloades fra keys.openpgp.org eller en anden nøgleserver, gemmer sq-værktøjet automatisk informationen om certifikatet på det lokale system og bruger denne information ved efterfølgende operationer for at identificere falske certifikater. Det skal bemærkes, at det implementerede system kan fungere som grundlag for at opbygge et tilsvarende distribueret certifikationscenter (CA), der dækker forskellige nøgleservere.
For eksempel, før brugeren verificerer de downloadede OS Qubes-versioner, kan han først kontrollere Qubes-certifikatet, der gives fra hovednøgleserveren for Qubes-projektet: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
Den angivne kommando vil downloade certifikatet fra serveren keys.qubes-os.org og derefter kontrollere dets tilstedeværelse på kendte nøgleservere som keys.openpgp.org og keyserver.ubuntu.com, eller forsøge at hente det ved hjælp af mekanismerne WKD (Web Key Directory) og DANE (DNS-Based Authentication of Named Entities). Derefter vil værktøjet sammenligne de modtagne certifikater, og hvis de er relateret til én ejer, vil det foreslå at bruge kommandoen «sq pki link add» for at gemme certifikatet på det lokale system til efterfølgende kontroller. Efter gemningen vil certifikatet blive anset for at være pålideligt, og for at downloade versioner med verifikation af deres ægthed, vil det være tilstrækkeligt at udføre kommandoen: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Kilde: opennet.ru
