Hét év fejlesztés után elkészült az sq 1.0 parancssori eszközkészlet kiadása, amely az OpenPGP artefaktumokkal való munkára készült. Az eszközkészlet a Sequoia PGP projekt által készült, amely a funkciók könyvtárát is fejleszti az OpenPGP (RFC-4880) szabvány implementálásával. Az 1.0 kiadást a projekt első stabil kiadásának tekintik, ami a kódalap stabilizálását és a hátrálóba ütköző változtatások befejezését jelenti. A kód Rust nyelven készült és GPLv2+ licenc alatt terjesztik.
Az eszközkészlet a Red Hat Enterprise Linux 10 disztró részét képezi, mint alternatíva a GnuPG számára, és a DNF és RPM csomagkezelőkben használják PGP-hez, valamint az APT csomagkezelő kísérleti ágában alapértelmezettként alkalmazzák, ha vannak Sequoia komponensek a rendszeren. A Sequoia fejlesztői által létrehozott Hagrid kulcsszerver a keys.openpgp.org szolgáltatásban használatos.
A Sequoia projektet három GnuPG fejlesztő hozta létre a g10code cégtől, amely a kriptoszisztémák auditálására és a GnuPG-hoz készült bővítmények fejlesztésére specializálódott. A projekt célja a kódarchitektúra átdolgozása és új technikák bevezetése a kód alap biztonságának és megbízhatóságának növelése érdekében. A Rust nyelv használatán kívül, amely csökkenti a memóriakezelési hibák valószínűségét, a Sequoia többletvédelmet is megvalósít az API szintjén. Például az API nem engedi meg véletlenül a titkos kulcs anyagának exportálását, és biztosítja, hogy fontos lépéseket ne hagyjanak ki a digitális aláírás frissítésekor. További elszigetelés érdekében a nyílt és zárt kulcsokkal dolgozó szolgáltatások külön folyamatokba vannak elosztva.
A gpg-hez hasonló funkciók mellett, mint az adatok titkosítása, elektronikus aláírások kezelése és a kulcsok irányítása, az sq egy decentralizált nyilvános kulcsinfrastruktúrát (PKI) is biztosít. A PKI a tanúsítványok és üzenetek hitelesítésére használatos, és lehetővé teszi, hogy biztosak lehessünk abban, hogy a kapott nyilvános kulcs és az elfogadott üzenetek a megadott szerzőhöz kapcsolódnak, nem pedig egy rosszindulatú fél által létrehozottak.
A tanúsítványok keys.openpgp.org vagy más kulcs-szerverekről történő betöltésekor a sq eszköz automatikusan eltárolja a tanúsítványról az információkat a helyi rendszeren, és ezt az információt felhasználja a későbbi műveleteknél a hamis tanúsítványok azonosításához. Észlelhető, hogy a megvalósított rendszerként alapként használható egy hasonló elosztott tanúsítványkiadó központ (CA) létrehozásához, amely különböző kulcs-szervereket ölel fel.
Például mielőtt hitelesítené a betöltött Qubes OS build-eket, a felhasználó először ellenőrizheti a Qubes tanúsítványt, amelyet a project Qubes fő kulcs-szerveréről adnak: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
A megadott parancs letölti a tanúsítványt a keys.qubes-os.org szerverről, majd ellenőrzi a meglétét ismert kulcs-szervereken, mint például a keys.openpgp.org és a keyserver.ubuntu.com, vagy megpróbálja megszerezni WKD (Web Key Directory) és DANE (DNS-Alapú Név Entitások Hitelesítése) mechanizmusokon keresztül. Ezt követően az eszköz összehasonlítja a kapott tanúsítványokat, és ha azok egy tulajdonoshoz kapcsolódnak, felajánlja a „sq pki link add” parancs használatát a tanúsítvány helyi rendszerbe való mentésére a későbbi ellenőrzésekhez. A mentés után a tanúsítvány megbízhatónak számít, és a hitelesítési ellenőrzéssel való letöltéshez elegendő a következő parancs végrehajtása: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Forrás: opennet.ru
