암호 - 사이트에서 다운 받는 프로그램이 변조 됐는지 확인하기(PGP Verify)

사전 준비. gpg4win 설치

https://www.gpg4win.org/

Gpg4win - Secure email and file encryption with GnuPG for Windows

 

 

예시. 베라크립트 파일 검증하기

 

1. 사이트로부터 공용 키를 받아서 등록한다. 

명령어

curl https://www.idrix.fr/VeraCrypt/VeraCrypt_PGP_public_key.asc | gpg --import

 

2. 등록한 키 확인

 

 

gpg --list-keys

3. 공용 키 핑거프린트 확인

 

gpg --fingerprint

 

베라크립트 사이트에 있는 핑거프린트가 일치하는 거 확인 (1차 검증)





3. 다운 받은 파일을 검증한다. 

 

검증하려는 파일과 시그니쳐 둘 다 다운하고 반드시 둘이 같은 폴더 경로에 있어야 함

 

 

파일 검증

gpg --verify "VeraCrypt Setup 1.25.9.exe.sig"

4. 아래의 출력문이 나오면 검증이 성공한 것(파일이 변조되지 않음)
Good signature from "VeraCrypt Team ~~~

 

실행 파일을 임의로 수정하고 다시 확인

5. 아래의 출력문이 나오면 검증이 실패한 것
gpg: BAD signature from "VeraCrypt Team ~~~

 

 

 

 

참고 영상

https://www.youtube.com/watch?v=WnNfunEJdQY