Hallo,

habe mal eine generelle Frage zu dem Download und dem PGP Check, der dazu empfolen wird. Vielleicht kann Willow/Olaf oder jemand, der sich sonst damit auskennt, das mal kurz erläutern.

Habe auf der Hibiscus/Jameica Seite die neuesten Versionen runtergeladen. Dabei wird empfolen, die Echtheit mit dem asc-File und dem privaten Schlüssel von Olaf Willuhn zu checken. Habe ich auch gemacht und es wurde das ausgegeben, was beschrieben ist.
Was mich jetzt etwas verwundert ist: das Programm (zip-File) und der asc-File sind zwei separate Files (separate Links und Downloads). Bedeutet das jetzt, jemand könnte die Seite hacken, NUR den Link des Zip-Files ändern und der Check würde trotzdem klappen ? Oder wird der Zip-File in den Check irgendwie mit eingebunden ? (War beim Check im selben Folder).

Ansonsten sieht sehr interessant aus beim ersten Test. :thup:

Viele Grüsse,
maxiq

Es ist nicht mein privater Schluessel sondern der oeffentliche, mit dem du die Pruefung durchfuehrst.

Die Pruefsummen-Datei *.asc kann getrost direkt neben der zu testenden Datei liegen. Denn bei dem PGP-Check pruefst du nicht nur, ob die Signatur zur Datei passt sondern auch, ob die Signatur wirklich von mir ausgestellt wurde.

Und da nur ich den Private-Key zu diesem Public-Key besitze, bin nur ich in der Lage, genau diese asc-Datei zu erzeugen, welche von http://pgpkeys.pca.dfn.de:1137…0&op=index - also von mir - unterschrieben wurde.

Zu dem Thema kannst du ja mal http://de.wikipedia.org/wiki/Public_Key_Infrastruktur lesen.

Gruss
Olaf

Hi Olaf,

Danke für die Antwort.

Nee, klar, meinte auch öffentlich

Bin noch etwas unerfahren auf dem Gebiet.
Habe ich jetzt richtig verstanden, dass die ASC-Datei eine Checksumme enthält, mit der der UNVERÄNDERTE Zustand der ZIP-Datei überprüft wird (also das eigentliche Programm), und zusätzlich wird die Echtheit dieser ASC-Datei mit dem öffentlichen Schlüssel überprüft ?

Viele Grüsse,
maxiq

Korrekt. Deshalb musst du ja auch zuerst meinen Public-Key importieren und kannst danach erst die Checksumme pruefen. Die Checksumme stellt sicher, dass die ZIP-Datei seit der Erzeugung bei mir nicht geaendert wurde und mit dem Public-Key ist sichergestellt, dass die Checksumme wirklich von mir stammt.

Alles klar, danke für die Erläuterungen.

Dann kann ich es ja getrost einsetzen :mrgreen: