Come posso verificare una firma GPG allegata per una e-mail in chiaro usando la riga di comando gpg?

Naviga le tue risposte
8

Ho ricevuto un'email in chiaro da qualcuno con un signature.asc allegato. Guardando la fonte originale per l'email, è stata inviata con Apple Mail + GPGMail. Leggere il messaggio in Thunderbird + Enigmail appare con successo come GOOD signature nei dettagli di Enigmail quando si apre il messaggio. Il testo non è in armatura ASCII.

Tuttavia, il tentativo di verificare il messaggio con gpg ha come risultato BAD signature . Usando il file di firma allegato (separato), ho provato i seguenti file di input senza successo:

  • Posta elettronica completa con tutte le intestazioni (questo ovviamente non dovrebbe funzionare perché i server di posta aggiungono le intestazioni dopo che il mittente ha finito di comporre e firmare il messaggio)
  • File di posta elettronica non elaborato senza intestazioni di posta elettronica (la posta elettronica inizia dall'intestazione From: )
  • munpacked mime parts singolarmente (la parte ascii e la parte html come input del messaggio)
posta yincrash 08.04.2015 - 05:49
fonte

1 risposta

6

Inciampare su questa email ha reso tutto chiaro (oltre a dare un'occhiata RFC3156 ).

L'email è di tipo multipart / signed che

The multipart/signed body MUST consist of exactly two parts. The first part contains the signed data in MIME canonical format, including a set of appropriate content headers describing the data.

The second body MUST contain the OpenPGP digital signature. It MUST be labeled with a content type of "application/pgp-signature".

La firma firma la prima parte. La prima parte era in realtà una multiparte delle parti text e html. Ogni client di posta elettronica che ho guardato non ha reso chiara questa gerarchia e l'ha divisa in tre parti (testo, html, firma).

Verifica della firma usando solo il testo MIME non elaborato della prima multipart verificata con successo.

    
risposta data 08.04.2015 - 06:04
fonte

Leggi altre domande sui tag

Esiste uno standard e / o un nome ufficiale per i pacchetti di certificati PEM? Perché ricevo richieste di url per pagine che non ho mai avuto sul mio sito?