Что такое Linux-эквивалент пути маршрута Windows\папки?

Загляните внутрь файла .asc, вы увидите, что он начинается с:

 -----BEGIN PGP SIGNATURE-----

Итак, это PGP Подпись . Это означает, что он подписывает некоторый контент с помощью определенного ключа PGP.

1 )Содержание

Судя по имени, содержимым является файл .txt,это список файлов, соответствующих загружаемому программному обеспечению, и каждый файл имеет соответствующий хэш.

2 )Подпись

Если запустить gpgна обоих файлах, вот результат:

$ gpg --verify cmake-3.11.0-rc3-SHA-256.txt.asc cmake-3.11.0-rc3-SHA-256.txt
gpg: Signature made Fri Mar  9 10:29:10 2018 EST
gpg:                using RSA key 2D2CEF1034921684
gpg: Can't check signature: No public key

Так как же все это работает? У вас должен быть ключ 2D2CEF1034921684в вашей локальной связке ключей. Как вы его получаете, и, что более важно, вы уверены, что получаете правильный? (одного идентификатора недостаточно ). Именно здесь имеет место модель сети доверия OpenPGP. Было бы слишком долго подробно описывать здесь, но вкратце, в идеале, вы получаете доступ к ключам вне диапазона, и у вас есть средства для его аутентификации... или для аутентификации какого-то другого ключа кого-то, кого вы знаете, который сам аутентифицировал другой ключ. И/или вы найдете его в Интернете в одном или нескольких местах, защищенном HTTPS (с сертификатом и ЦС, которому вы доверяете ), и в идеале с помощью DNSSEC.

Если у вас есть открытый ключ, и вы считаете, что он исправен и не подделан (и что обычно он соответствует разработчикам программного обеспечения инструмента, который вы пытаетесь загрузить ), приведенная выше команда покажет вам, что файлы .txtне были изменены. И, в свою очередь, это дает вам хэш всех файлов архивов, поэтому вы можете загрузить его и повторно -запустить алгоритм хеширования (SHA256, как написано в имени файла ), и сравнить его со значением, хранящимся в файле.

Если кто-то скомпрометировал сервер и изменил некоторые архивы, он мог бы, как вы сами говорите, также изменить файл .txtс новыми хэшами, чтобы вы могли поверить, что файлы действительно совпадают. Однако эта третья сторона не сможет сгенерировать правильный файл .ascс подписью PGP (после gpg --verify, вы получите сообщение об ошибке о недопустимой подписи ),потому что для этого ему потребуется доступ к закрытому ключу, который предположительно должным образом защищен и в любом случае не хранится на веб-сервере. И если он сгенерирует его с другим ключом, вы это увидите, потому что вы не будете доверять этому неизвестному ключу.

Но, конечно, вся модель рушится, если скомпрометирован сам ключ.