web-dev-qa-db-ja.com

セキュリティ-これは私の公開鍵ですか？私の秘密鍵？または私が使用しているプログラムのキー？

私は最近、別のUbuntuに質問をしました。

W: An error occurred during the signature verification. 
The repository is not updated and the previous index files will be used. 
GPG error: https://dl.winehq.org/wine-builds/ubuntu bionic InRelease: 
The following signatures couldn't be verified
 because the public key is not available: NO_PUBKEY 76F1A20FF987672F

ご覧のとおり、私のエラーメッセージの一部はPUBKEY 76F1A20FF987672Fを公開しています。これはWINEの公開キーでしたか、またはこれは自分の公開キーですか？

最も重要なことは、これはPUBKEY 76F1A20FF987672F情報であり、公開フォーラム（これは）に投稿すべきではありませんか？

私が秘密鍵を漏らすことは決してないと思います。 ウィキペディアの公開鍵暗号 ページを読んでいますが、少し圧倒されます。

securityencryptionauthenticationgnupg
5
Jason Hunter
76F1A20FF987672F

番号！これはWinehq.orgのキーペアのキーIDです!!

これは公開（または秘密）キーではありません。おそらくまだ持っていないでしょう。秘密鍵と公開鍵のペアが必要な場合は、それらを作成する必要があります。

KeyIDは、物理キーの番号に似ています。キーが属するロックにも同じ番号があります。この情報を公開フォーラムに投稿しても害はありません。 winehqの秘密キーは安全に...（だれが推測しますか？）

WineHQ

WineHQは、秘密鍵と公開鍵の組み合わせを変更しました。どうして？人々がロックを変更するのと同じ理由。物理キー（およびデジタルキー）は紛失（または削除）または盗難に遭います。

WineHQから新しい公開キーをダウンロードする方法については、 wineの署名検証エラー-インデックスファイルのダウンロードに失敗しました-ミラーの変更は役に立ちません を参照してください。新しい公開キーを取得すると、更新が行われます。新しい公開鍵は、ワインの更新がWineHQからのものであることを確認します。これは、WineHQのみが一致する秘密キーを持っているためです。

お役に立てれば

11
user68186

76F1A20FF987672Fは、このAPTリポジトリに格納されているリリースに関連付けられている公開鍵と秘密鍵の両方の識別コード番号です。これは完全なキーではなく、パブリックでもプライベートでもありません。また、それ自体では役に立ちません。

これらのコード番号の1つで通常行うことは、gpg --recv-keysにフィードして完全な公開キーをローカルキーリングに読み込むことですが、この特定の公開キーは通常の「キーサーバー」にはありません。 https://wiki.winehq.org/Ubunt に手順があります：

wget -nc https://dl.winehq.org/wine-builds/winehq.key
Sudo apt-key add winehq.key

これらのコマンドshouldの両方を実行すると、apt-get updateが再び幸せになります。

最初のコマンドだけを実行すると、識別コード番号に対応する完全な公開キーを含むファイルが提供されます。次のコマンドを使用して、内容について何かを学ぶことができます。

$ gpg --list-packets < winehq.key | less

出力の興味深い部分は最初の部分です：

# off=0 ctb=99 tag=6 hlen=3 plen=397
:public key packet:
    version 4, algo 1, created 1544460984, expires 0
    pkey[0]: [3072 bits]
    pkey[1]: [17 bits]
    keyid: 76F1A20FF987672F
# off=400 ctb=b4 tag=13 hlen=2 plen=39
:user ID packet: "WineHQ packages <[email protected]>"

「キーID」は同じ識別コード番号であり、「ユーザーID」はWineHQに関連付けられたメールアドレスです。ただし、それを当然のことと考えてはいけません。このキーを生成した人は誰でも「ユーザーID」を何にでも設定できたはずです。 PGPキーがあなたが考える個人または組織に属するかどうかを判断する通常の方法は「信頼の輪」を使用することですが、このキーはまったく信頼の輪にないので、事実に頼らなければなりませんWineプロジェクトに属するHTTPS Webサイトから取得したこと。これで十分でしょう。

「created 1544460984」は、キーがいつ作成されたかを示しますが、役に立たない方法で示されます。その数値は、Unixエポックからの秒数です。 dateコマンドを使用して、人間が読める形式に変換できます。

$ date --date='@1544460984'
Mon Dec 10 11:56:24 EST 2018

ちょうど10日前に作成されました（これを書いている時点で）。これがおそらく、APTからエラーを受け取っていた理由です。ごく最近、キーを変更しました。これは疑わしいことですが、 https://wiki.winehq.org/Ubunt にキーが変更されたというメモがあるので、おそらくですwinehq.orgサイト全体が侵害されていない限り、合法です。

winehq.keyの生の内容は次のようになります。

-----BEGIN PGP PUBLIC KEY BLOCK-----

mQGNBFwOmrgBDAC9FZW3dFpew1hwDaqRfdQQ1ABcmOYu1NKZHwYjd+bGvcR2LRGe
R5dfRqG1Uc/5r6CPCMvnWxFprymkqKEADn8eFn+aCnPx03HrhA+lNEbciPfTHylt
[48 more lines of base64]
-----END PGP PUBLIC KEY BLOCK-----

これは、コード番号よりもはるかに大きいことがわかります。比較のために、PGPsecretキーは次のようになります。さらに大きいです。

-----BEGIN PGP PRIVATE KEY BLOCK-----

lQVYBFwb3HkBDACz89KGuIp/A7whjsCVH8qZM/HL5iTesD/4pncO770Z7y15sIJx
gN+JU/SShGUPPF5oWJqJyYIINkrlgBNYtYg1tfGN0hjE+IVefrrOgYGCdyiEJEKc
[76 more lines of base64]
-----END PGP PRIVATE KEY BLOCK-----

（これは、この答えを書くためだけに作成したキーであり、署名や暗号化に使用されることはなく、すぐに破棄されますが、PGP秘密キーの最初の96ビットしかない場合はおそらく何もできませんが、 ）

4
zwol