{"id":121004,"date":"2024-12-17T15:46:01","date_gmt":"2024-12-17T13:46:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pervyj-stabilnyj-reliz-pgp-instrumentariya-sq-ot-proekta-sequoia"},"modified":"2024-12-17T15:46:01","modified_gmt":"2024-12-17T13:46:01","slug":"pervyj-stabilnyj-reliz-pgp-instrumentariya-sq-ot-proekta-sequoia","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/pervyj-stabilnyj-reliz-pgp-instrumentariya-sq-ot-proekta-sequoia","title":{"rendered":"La prima versione stabile dello strumento PGP sq del progetto Sequoia","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dopo sette anni di sviluppo, \u00e8 stata rilasciata la versione 1.0 dello strumento della riga di comando sq, progettato per lavorare con gli artefatti OpenPGP. Lo strumento \u00e8 stato preparato dal progetto Sequoia PGP, che sta anche sviluppando una libreria di funzioni implementando lo standard OpenPGP (RFC-4880). Il rilascio della versione 1.0 segna il primo rilascio stabile del progetto, che indica la stabilizzazione della base di codice e la cessazione delle modifiche che violano la compatibilit\u00e0. Il codice \u00e8 scritto in Rust e distribuito con licenza GPLv2+. <\/p>\n
Lo strumento \u00e8 incluso nel pacchetto di distribuzione di Red Hat Enterprise Linux 10 come alternativa a GnuPG, utilizzato per lavorare con PGP nei gestori di pacchetti DNF e RPM, ed \u00e8 utilizzato per impostazione predefinita nel ramo sperimentale del gestore di pacchetti APT quando i componenti Sequoia sono presenti nel sistema. Il server di chiavi Hagrid creato dagli sviluppatori Sequoia \u00e8 utilizzato nel servizio keys.openpgp.org. <\/p>\n
Il progetto Sequoia \u00e8 stato creato da tre sviluppatori di GnuPG dell'azienda g10code, specializzata nell'audit dei sistemi crittografici e nello sviluppo di estensioni per GnuPG. L'obiettivo del progetto \u00e8 la riprogettazione dell'architettura e l'implementazione di nuove tecniche per migliorare la sicurezza e l'affidabilit\u00e0 del codice sorgente. Oltre all'uso del linguaggio Rust per ridurre la probabilit\u00e0 di errori nella gestione della memoria, Sequoia offre una protezione aggiuntiva contro errori a livello di API. Ad esempio, l'API non consente l'esportazione accidentale del materiale della chiave segreta e previene l'omissione di azioni importanti durante l'aggiornamento della firma digitale. Per un'ulteriore isolamento, viene utilizzata la separazione dei servizi che gestiscono chiavi pubbliche e private in processi distinti. <\/p>\n
Oltre alle funzioni di crittografia dei dati, gestione delle firme elettroniche e controllo delle chiavi, simili a quelle di gpg, sq offre anche un'infrastruttura decentralizzata di chiavi pubbliche (PKI). La PKI viene utilizzata per l'autenticazione di certificati e messaggi, e permette di garantire che la chiave pubblica ricevuta e il messaggio accettato siano collegati all'autore dichiarato e non siano stati generati da un malintenzionato. <\/p>\n
Quando si carica un certificato da keys.openpgp.org o da un altro server di chiavi, l'utilit\u00e0 sq salver\u00e0 automaticamente le informazioni sul certificato nel sistema locale e utilizzer\u00e0 queste informazioni nelle operazioni successive per identificare certificati falsi. Si osserva che il sistema implementato pu\u00f2 essere utilizzato come base per costruire una sorta di autorit\u00e0 di certificazione distribuita (CA), coprendo vari server di chiavi. <\/p>\n
Ad esempio, prima di autenticare le build del sistema operativo Qubes caricate, l'utente pu\u00f2 prima verificare il certificato Qubes fornito dal server principale di chiavi del progetto Qubes: sq network search https:\/\/keys.qubes-os.org\/keys\/qubes-release-4.2-signing-key.asc <\/p>\n
Il comando specificato scaricher\u00e0 il certificato dal server keys.qubes-os.org e poi verificher\u00e0 la sua presenza su noti server di chiavi, come keys.openpgp.org e keyserver.ubuntu.com, o tenter\u00e0 di ottenerlo tramite i meccanismi WKD (Web Key Directory) e DANE (DNS-Based Authentication of Named Entities). Successivamente, l'utilit\u00e0 confronter\u00e0 i certificati ricevuti e, se sono associati a un unico proprietario, proporr\u00e0 di utilizzare il comando «sq pki link add» per salvare il certificato sul sistema locale per future verifiche. Dopo il salvataggio, il certificato sar\u00e0 considerato affidabile e per scaricare le build con verifica della loro autenticit\u00e0 sar\u00e0 sufficiente eseguire il comando: sq download —signature-url https:\/\/mirrors.edge.kernel.org\/qubes\/iso\/Qubes-R4.2.3-x86_64.iso.asc —url https:\/\/mirrors.edge.kernel.org\/qubes\/iso\/Qubes-R4.2.3-x86_64.iso —output \/tmp\/qubes.iso \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"