怎么样应用GPG加密使您的信息安全保障无忧

来源： 作者： 时间：2007-04-11 点击： [收藏] [投稿]

软件包签名验证

对于Red Hat等Linux发行商来说，他们常常会利用GPG对发布的软件包进行签名。用户可以通过验证软件包的签名来确保得到的软件包没有损坏，或者是被他人动过手脚。

验证一个下载软件包的GPG签名可以按照以下步骤来进行：

1．从网上下载或其它方式得到软件发行商的公钥，并把其导入自己的GPG环境中。

2．通过对比“电子指纹”来确认公钥，并对此公钥进行签名。

3．使用以下命令来验证软件包的GPG签名：

#gpg --verify singaturefile.tar.gz taballpackage.gz

如果该软件是RPM格式的，还可以使用如下命令来验证：

#rpm -Kv your.rpm

密钥管理

前面介绍了GPG在加密和签名两方面的应用，在应用过程中用户要认真地对待密钥管理问题。GPG的密钥采用的是信任机制，并没有一个中心的PKI可以帮助发布和验证GPG用户的公钥。为了防止公钥欺骗，保证公钥的不可否认性（Non-repudiation），需要有一种机制来进行管理。下面是一些有益的建议，可供参考。

◆ 备份好私钥

一旦私钥丢失或损坏，则无法打开以前加密的文件。并且，即使知道私钥被他人滥用，也无法使自己的公钥过期。有了私钥的备份，就能有效地回避此类风险。

◆ 建立有过期保护的公钥机制

万一私钥丢失不能人工收回公钥时，公钥也可以在预定时间后自动过期。

◆ 为私钥加上强口令保护

这样，即使私钥文件泄漏，还有口令保护。保护口令一定要有足够的复杂度，才能有效地对抗暴力破解。

◆ 多重机制

在紧急情况下恢复密钥要有多重控制。

◆ 使用版本控制软件

使用版本控制软件来收集和维护自己的公钥库。版本控制软件可以有效地记录历史变更情况，保证公钥库的有条不紊。

小结

GPG作为一个开源并且免费的加密和数字签名软件已经存在多年。它不但可以为企业、个人之间的重要信息提供加密保护，还可以为出版的软件、内核等电子产品进行数字签名，防止产品被篡改，最大程度地保障信息安全。