Dopo sette anni di sviluppo, è stata rilasciata la versione 1.0 dello strumento della riga di comando sq, progettato per lavorare con gli artefatti OpenPGP. Lo strumento è stato preparato dal progetto Sequoia PGP, che sta anche sviluppando una libreria di funzioni implementando lo standard OpenPGP (RFC-4880). Il rilascio della versione 1.0 segna il primo rilascio stabile del progetto, che indica la stabilizzazione della base di codice e la cessazione delle modifiche che violano la compatibilità. Il codice è scritto in Rust e distribuito con licenza GPLv2+.
Lo strumento è incluso nel pacchetto di distribuzione di Red Hat Enterprise Linux 10 come alternativa a GnuPG, utilizzato per lavorare con PGP nei gestori di pacchetti DNF e RPM, ed è utilizzato per impostazione predefinita nel ramo sperimentale del gestore di pacchetti APT quando i componenti Sequoia sono presenti nel sistema. Il server di chiavi Hagrid creato dagli sviluppatori Sequoia è utilizzato nel servizio keys.openpgp.org.
Il progetto Sequoia è stato creato da tre sviluppatori di GnuPG dell'azienda g10code, specializzata nell'audit dei sistemi crittografici e nello sviluppo di estensioni per GnuPG. L'obiettivo del progetto è la riprogettazione dell'architettura e l'implementazione di nuove tecniche per migliorare la sicurezza e l'affidabilità del codice sorgente. Oltre all'uso del linguaggio Rust per ridurre la probabilità di errori nella gestione della memoria, Sequoia offre una protezione aggiuntiva contro errori a livello di API. Ad esempio, l'API non consente l'esportazione accidentale del materiale della chiave segreta e previene l'omissione di azioni importanti durante l'aggiornamento della firma digitale. Per un'ulteriore isolamento, viene utilizzata la separazione dei servizi che gestiscono chiavi pubbliche e private in processi distinti.
Oltre alle funzioni di crittografia dei dati, gestione delle firme elettroniche e controllo delle chiavi, simili a quelle di gpg, sq offre anche un'infrastruttura decentralizzata di chiavi pubbliche (PKI). La PKI viene utilizzata per l'autenticazione di certificati e messaggi, e permette di garantire che la chiave pubblica ricevuta e il messaggio accettato siano collegati all'autore dichiarato e non siano stati generati da un malintenzionato.
Quando si carica un certificato da keys.openpgp.org o da un altro server di chiavi, l'utilità sq salverà automaticamente le informazioni sul certificato nel sistema locale e utilizzerà queste informazioni nelle operazioni successive per identificare certificati falsi. Si osserva che il sistema implementato può essere utilizzato come base per costruire una sorta di autorità di certificazione distribuita (CA), coprendo vari server di chiavi.
Ad esempio, prima di autenticare le build del sistema operativo Qubes caricate, l'utente può prima verificare il certificato Qubes fornito dal server principale di chiavi del progetto Qubes: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
Il comando specificato scaricherà il certificato dal server keys.qubes-os.org e poi verificherà la sua presenza su noti server di chiavi, come keys.openpgp.org e keyserver.ubuntu.com, oppure tenterà di ottenerlo tramite i meccanismi WKD (Web Key Directory) e DANE (DNS-Based Authentication of Named Entities). Successivamente, l'utilità confronterà i certificati ottenuti e, se sono associati a un unico proprietario, offrirà di utilizzare il comando «sq pki link add» per salvare il certificato sul sistema locale per verifiche future. Dopo averlo salvato, il certificato sarà considerato affidabile e per scaricare le versioni con controllo della loro autenticità sarà sufficiente eseguire il comando: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso
Fonte: opennet.ru
