Den första stabila versionen av PGP-verktyget sq från projektet Sequoia

Efter sju års utveckling har version 1.0 av kommandoradsverktyget sq släppts, avsett för hantering av artefakter med OpenPGP. Verktyget har förberetts av Sequoia PGP-projektet, som även utvecklar funktionsbiblioteket som implementerar OpenPGP-standarden (RFC-4880). Utgåvan 1.0 markerar den första stabila versionen av projektet, vilket betyder att kodbasen har stabiliserats och att förändringar som bryter mot kompatibiliteten inte längre kommer att göras. Koden är skriven i Rust och distribueras under GPLv2+-licens.

Verktyget ingår i distributionen av Red Hat Enterprise Linux 10 som ett alternativ till GnuPG, används för PGP-hantering i pakethanterarna DNF och RPM, och används som standard i den experimentella grenen av pakethanteraren APT när komponenter från Sequoia finns i systemet. Den nyutvecklade nyckelservern Hagrid används i tjänsten keys.openpgp.org.

Sequoia-projektet skapades av tre utvecklare av GnuPG från företaget g10code, som specialiserar sig på granskning av kryptosystem och utveckling av tillägg till GnuPG. Projektets mål är att omarbeta arkitekturen och införa nya tekniker för att öka säkerheten och tillförlitligheten hos kodbasen. Förutom användningen av Rust-språket för att minska risken för fel vid minneshantering, implementerar Sequoia ett extra skydd mot fel på API-nivå. Till exempel tillåter inte API:et att materialet för den hemliga nyckeln av misstag exporteras och förhindrar viktiga handlingar från att förbises vid uppdatering av den digitala signaturen. För att ytterligare isolera används separata processer för tjänster som arbetar med öppna och stängda nycklar.

Förutom funktioner för datakryptering, hantering av elektroniska signaturer och nyckelhantering, liknande dem som erbjuds av gpg, tillhandahåller sq dessutom en decentraliserad infrastruktur för offentliga nycklar (PKI). PKI används för att autentisera certifikat och meddelanden och möjliggör bekräftelse av att den mottagna offentliga nyckeln och det accepterade meddelandet är kopplade till den angivna författaren, och inte skapade av en angripare.

Vid nedladdning av certifikatet från keys.openpgp.org eller en annan nyckelserver kommer verktyget sq automatiskt att spara information om certifikatet på det lokala systemet och använda denna information vid framtida operationer för att identifiera falska certifikat. Det noteras att det implementerade systemet kan användas som grund för att bygga en liknande distribuerad certifikatutfärdare (CA), som omfattar olika nyckelservrar.

Till exempel, innan autentisering av de laddade versionerna av operativsystemet Qubes, kan användaren först kontrollera Qubes-certifikatet som tillhandahålls från den primära nyckelservern för Qubes-projektet: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc

Den angivna kommandon kommer att ladda ner certifikatet från servern keys.qubes-os.org och sedan kontrollera dess närvaro på kända nyckelservrar, såsom keys.openpgp.org och keyserver.ubuntu.com, eller försöka få det via mekanismerna WKD (Web Key Directory) och DANE (DNS-Based Authentication of Named Entities). Därefter kommer verktyget att jämföra de erhållna certifikaten och, om de är kopplade till samma ägare, föreslå att använda kommandot "sq pki link add" för att spara certifikatet på det lokala systemet för framtida kontroller. Efter att ha sparat kommer certifikatet att anses som betrott, och för nedladdning av versioner med kontroll av deras äkthet räcker det att utföra kommandot: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso

Källa: opennet.ru