Esimene stabiilne väljaanne PGP-tööriistade komplektist sq project Sequoialt

Pärast seitsme aasta pikkust arendust on valmis saanud käsurea tööriistade komplekt sq 1.0, mis on mõeldud OpenPGP artefaktide töötlemiseks. Tööriistade komplekti on valmistanud Sequoia PGP projekt, mis arendab ka funktsioonide raamatukogu OpenPGP standardi (RFC-4880) rakendamiseks. Väljaanne 1.0 märgib projekti esimest stabiilset väljaannet, mis tähistab koodibaasi stabiliseerimist ja muudatuste lõpetamist, mis rikkusid ühilduvust. Kood on kirjutatud Rust keeles ja jagatakse GPLv2+ litsentsi alusel.

Tööriistade komplekt on lisatud Red Hat Enterprise Linux 10 jagamisse, et olla alternatiiv GnuPG-le, ja seda kasutatakse PGP töötlemiseks DNF ja RPM pakihaldurites, samuti kasutatakse seda vaikimisi eksperimenteerus APT pakihalduri haru puhul, kui süsteemis on Sequoia komponente. Sequoia arendajate loodud võtme server Hagrid on kasutusel keys.openpgp.org teenuses.

Sequoia projekt loodi kolme GnuPG arendaja poolt g10code'ist, mis spetsialiseerub krüptosüsteemide auditile ja GnuPG laienduste arendamisele. Projekti eesmärgiks on arhitektuuri ülevaatamine ning uute tehnoloogiate rakendamine koodibaasi turvalisuse ja usaldusväärsuse suurendamiseks. Lisaks Rust keele kasutamisele mälu viga tõenäosuse vähendamiseks on Sequoias rakendatud lisakaitsevead API tasemel. Näiteks ei võimalda API juhuslikult ekspordida salajase võtme materjali ja kaitseb oluliste toimingute vahelejätmise eest digitaalsete allkirjade värskendamisel. Täiendavaks isolatsiooniks kasutatakse teenuste eraldamist eraldi protsessides, mis töötlevad avatud ja suletud võtmeid.

Lisaks andmete krüpteerimisele, elektrooniliste allkirjade töötlemisele ja võtmete haldamise funktsioonidele, mis sarnanevad gpg võimetega, pakub sq ka detsentraliseeritud avalike võtmete infrastruktuuri (PKI). PKI-d kasutatakse sertifikaatide ja sõnumite autentimiseks ning see võimaldab veenduda, et saadud avalik võti ja vastu võetud sõnum on seotud nimetatud autoriga, mitte ei ole loodud pahatahtliku isiku poolt.

Sertifikaadiga laadimisel aadressilt keys.openpgp.org või mõnelt muult võtme serverilt, salvestab utiliit sq automaatselt sertifikaadi teabe kohalikule süsteemile ja kasutab seda teavet järgnevate toimingute käigus vale sertifikaatide tuvastamiseks. Tuleb märkida, et rakendatud süsteemi saab kasutada sarnase jaotatud sertifitseerimiskeskuse (CA) loomiseks, mis katab erinevad võtme serverid.

Näiteks enne Qubesi OS-i laaditud kogumite autentimise kontrollimist võib kasutaja esmalt kontrollida Qubesi sertifikaati, mis on saadaval projekti Qubes peamiselt võtme serverilt: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc

Esitatud käsk laadib sertifikaadi aadressilt keys.qubes-os.org ja seejärel kontrollib selle olemasolu tuntud võtme serverites, nagu keys.openpgp.org ja keyserver.ubuntu.com, või püüab seda hankida WKD (Web Key Directory) ja DANE (DNS-Based Authentication of Named Entities) mehhanismide abil. Edasi võrreldakse saadud sertifikaate ning kui need on seotud ühe omaniku külge, pakutakse kasutada käsku „sq pki link add“, et salvestada sertifikaat kohalikku süsteemi järgnevate kontrollide jaoks. Pärast salvestamist loetakse sertifikaat usaldusväärseks ning kogumite laadimiseks, kontrollides nende ehtsust, piisab käskluse täitmisest: sq download --signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc --url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso --output /tmp/qubes.iso

Allikas: opennet.ru