在Linux上如何驗證已下載文件的真實性和完整性?
譯文你從互聯網上下載了某個文件(比如安裝程序、ISO映像文件或壓縮文件)后，該文件可能因各種錯誤情形而遭到損壞，比如由于網絡連接上的傳輸錯誤、下載受到中斷、存儲硬件有故障、文件系統錯誤等。拋開此類錯誤情形不說，文件還有可能被攻擊者在下載過程中或下載前惡意篡改。比如說，攻擊者對認證中心做手腳后，就能發動中間人(MITM)攻擊，引誘你從假冒的HTTPS網站下載感染了惡意軟件的文件。
為了保護自己遠離這些種類的問題，你從互聯網下載文件時，我們常常建議驗證文件的真實性和完整性。尤其是你下載了相當敏感的文件(比如操作系統映像文件、應用程序二進制代碼和可執行的安裝程序等)后，盲目地相信已下載文件可不是一個好習慣。
想驗證已下載文件的完整性，一個快速而簡單的辦法就是，使用各種校驗和工具(比如md5sum、sha256sum和cksum)，計算并比較校驗和(比如MD5、SHA或CRC)。不過，校驗和很容易遭到碰撞攻擊，而且無法用來驗證文件的真實性(即所有者)。
如果你既想驗證已下載文件的真實性(所有者)，又想驗證文件的完整性(內容)，就要改而依賴加密簽名。我在本教程中將介紹如何使用GnuPG(GNU隱私保護)，檢驗文件的真實性和完整性。
在這個例子中，我要驗證可從https://onionshare.org下載的一個磁盤映像文件。在該網站上，文件發布者提供了官方公鑰，還提供了用于驗證的指紋。
至于有待下載的文件，發布者還提供了相應的PGP簽名。
安裝GnuPG，生成密鑰對
我們不妨先將GnuPG安裝到你的Linux系統上。
在Debian、Ubuntu及其他Debian衍生版上：
$ sudo apt-get install gnupg
在Fedora、CentOS或RHEL上：
$ sudo yum install gnupg
安裝完畢后，生成密鑰對，你在本教程中要用到該密鑰對。
$ gpg --gen-key
密鑰生成過程中，會要求你提供姓名和電子郵件地址，以及保護你私鑰的密碼。你還可以選擇密鑰對何時到期(默認情況下沒有到期日)。密鑰生成過程可能需要幾分鐘或更久，長短取決于你選擇的密鑰大小(1024位到4096位)，因為它需要收集足夠數量的隨機性數據，這些數據來自你的桌面活動(比如鍵盤鍵入、鼠標移動、磁盤訪問)。
密鑰生成完畢后，公鑰和私鑰都將存儲在~/.gnupg目錄中，供之后使用。
#p#
導入文件所有者的公鑰
驗證已下載文件的第一步是，導入文件所有者的公鑰，與所有者建立信任關系則是可選步驟。
首先，下載文件所有者的公鑰：
$ wget https://onionshare.org/signing-key.asc
然后繼續使用gpg命令，將公鑰導入到你的密鑰環：
$ gpg --import signing-key.asc
一旦所有者的公鑰導入完畢，它會輸出一個密鑰編號(比如“EBA34B1C”)，如上所示。記下這個密鑰編號。
現在，運行這個命令，檢查已導入公鑰的指紋：
$ gpg --fingerprint EBA34B1C
你會看到公鑰的指紋串。將該指紋串與網站上顯示的指紋進行比對，看看兩者是否匹配。
通常來說，驗證公鑰的所有者確實是他或她聲稱的那個人必須經歷比簡單的指紋比對更嚴格的過程，因為網站有可能經過偽造，以便與指紋匹配。只有密鑰已經過了全面審查，確實屬于某個人(比如你見過那個人，通過電話聊了聊，以證實對方的身份，等等)，才可以信任對方的公鑰。
一旦你通過另外的一些手段驗證了公鑰的有效性，并決定信任公鑰，就可以明確將你的信任賦予該密鑰，如下所示。要注意：這一步是可選的，不需要你在使用前賦予明確的信任。
$ gpg --edit-key EBA34B1C
這個命令會顯示GPG提示符：
在GPG提示符下鍵入“trust”，這會讓你可以選擇該密鑰的信任級別：從1到5。
在這里，我決定賦予信任“4”。之后，鍵入“sign”，用你自己的私鑰來對它簽名，然后在GPG提示符下鍵入“save”：
同樣，這種明確將信任賦予公鑰的方式不是必需的;通過僅僅導入密鑰表明絕對信任常常就夠了。
將“完全”信任賦予密鑰帶來的影響是，如果另一個密鑰X用這個完全信任的密鑰來簽名，密鑰X也被你認為是有效的。通常而言，密鑰驗證依賴一種名為“信任網絡”(web of trust)的復雜機制。
回到本教程，現在不妨檢驗已導入密鑰列表。
$ gpg --list-keys
你應該至少會看到兩個密鑰：一個是深度為0、終極信任(“1u”)的密鑰;另一個是深度為1、完全信任(“1f“)的密鑰，后者是由你自己早些時候簽名的密鑰。#p#
驗證文件的真實性/完整性
一旦你使用文件所有者的公鑰與對方建立起了信任關系，我們現在就可以準備驗證你從所有者那里下載的某個文件的真實性和完整性了。
在我們這個例子中，文件所有者分開發布了文件和相應的PGP簽名(*.asc)。簽名的作用就是驗證文件，并給文件加上時間戳。
一個典型的簽名(*.asc)看起來如下。
-----BEGIN PGP SIGNATURE-----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=c9wo
-----END PGP SIGNATURE-----
我們不妨下載文件及其簽名：
$ wget https://onionshare.org/files/0.6/OnionShare.dmg $ wget https://onionshare.org/files/0.6/OnionShare.dmg.asc
現在，驗證已下載文件的PGP簽名。
$ gpg --verify OnionShare.dmg.asc OnionShare.dmg
如果該命令的輸出里面含有“Good signature from
現在你大可放心，可以信任那個已下載文件了。
原文地址：http://xmodulo.com/verify-authenticity-integrity-downloaded-file.html
