Na zeven jaar ontwikkeling is de release van de opdrachtregeltool sq 1.0 voltooid, bedoeld voor het werken met OpenPGP-artifacten. De tool is ontwikkeld door het Sequoia PGP-project, dat ook een functiebibliotheek ontwikkelt met de implementatie van de OpenPGP-standaard (RFC-4880). De release 1.0 markeert de eerste stabiele release van het project, wat de stabilisatie van de codebasis betekent en het stoppen van wijzigingen die de compatibiliteit verstoren. De code is geschreven in de programmeertaal Rust en wordt verspreid onder de GPLv2+ licentie.
De tool is opgenomen in de distributie van Red Hat Enterprise Linux 10 als alternatief voor GnuPG, gebruikt voor PGP-werk in de pakketbeheerders DNF en RPM, en wordt standaard gebruikt in de experimentele tak van de pakketbeheerder APT wanneer de Sequoia-componenten in het systeem aanwezig zijn. De sleutelserver Hagrid, ontwikkeld door Sequoia, wordt toegepast in de service keys.openpgp.org.
Het Sequoia-project is opgericht door drie ontwikkelaars van GnuPG van het bedrijf g10code, dat gespecialiseerd is in de audit van cryptosystemen en de ontwikkeling van extensies voor GnuPG. Het doel van het project is het herontwerpen van de architectuur en het implementeren van nieuwe technieken ter verhoging van de beveiliging en betrouwbaarheid van de codebasis. Naast het gebruik van de programmeertaal Rust om de kans op geheugenfouten te verkleinen, biedt Sequoia extra bescherming tegen fouten op API-niveau. Bijvoorbeeld, de API staat niet toe dat materieel van de geheime sleutel per ongeluk wordt geƫxporteerd en voorkomt dat belangrijke handelingen bij het bijwerken van de digitale handtekening worden overgeslagen. Voor extra isolatie wordt gebruikgemaakt van de splitsing in afzonderlijke processen voor de diensten die met open en gesloten sleutels werken.
Naast functies voor het versleutelen van gegevens, het werken met digitale handtekeningen en het beheren van sleutels, vergelijkbaar met de mogelijkheden van gpg, biedt sq bovendien een gedecentraliseerde infrastructuur voor open sleutels (PKI). PKI wordt gebruikt voor de authenticatie van certificaten en berichten en stelt gebruikers in staat om te verifiƫren dat de ontvangen open sleutel en het aangenomen bericht zijn gekoppeld aan de opgegeven auteur en niet door een kwaadwillende zijn gegenereerd.
Bij het laden van een certificaat van keys.openpgp.org of een andere sleutelserver, zal de sq-tool automatisch informatie over het certificaat op het lokale systeem opslaan en deze informatie gebruiken bij volgende operaties om valse certificaten te identificeren. Het is vermeldenswaardig dat het geĆÆmplementeerde systeem kan worden gebruikt als basis voor het opzetten van een soort gedistribueerd certificeringscentrum (CA) dat verschillende sleutelservers dekt.
Bijvoorbeeld, voordat de authenticiteit van de geladen versies van het Qubes-besturingssysteem wordt gecontroleerd, kan de gebruiker eerst het Qubes-certificaat controleren dat wordt aangeboden door de hoofd sleutelserver van het Qubes-project: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc
De opgegeven opdracht zal het certificaat van de server keys.qubes-os.org downloaden en vervolgens controleren of het aanwezig is op bekende sleutelservers zoals keys.openpgp.org en keyserver.ubuntu.com, of proberen het te verkrijgen via WKD (Web Key Directory) en DANE (DNS-Based Authentication of Named Entities). Vervolgens zal de tool de verkregen certificaten vergelijken en als deze verbonden zijn met Ć©Ć©n eigenaar, voorstellen om de opdracht Ā«sq pki link addĀ» te gebruiken om het certificaat op het lokale systeem op te slaan voor toekomstige controles. Na opslag zal het certificaat als betrouwbaar worden beschouwd en voor het downloaden van versies met controle van de authenticiteit is het voldoende om de opdracht uit te voeren: sq download āsignature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc āurl https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso āoutput /tmp/qubes.iso
Bron: opennet.ru
