Echtheit und Integrität
🔐 OpenPGP-Signatur überprüfen
Die OpenPGP-Prüfung geht einen Schritt weiter als die reine
SHA-256-Prüfsumme.
HAINMOOR kann zu einer veröffentlichten Datei eine
abgetrennte digitale Signatur erzeugen.
Diese Signatur enthält nicht das E-Book selbst. Sie gehört jedoch
kryptografisch genau zu der signierten Datei.
Zur Überprüfung werden deshalb drei Dinge benötigt:
- die heruntergeladene Originaldatei,
- die dazugehörige OpenPGP-Signatur und
- der öffentliche HAINMOOR-Schlüssel.
Was ist GnuPG?
GnuPG ist eine freie Implementierung des OpenPGP-Standards.
Mit ihr können unter anderem OpenPGP-Schlüssel verwaltet und
digitale Signaturen überprüft werden.
1. Signatur speichern
Auf einer HAINMOOR-Buchseite kann die abgetrennte Signatur als
Textblock angezeigt werden. Sie beginnt beispielsweise mit:
-----BEGIN PGP SIGNATURE----- ... -----END PGP SIGNATURE-----
Kopiere den gesamten Signaturblock einschließlich
der BEGIN- und END-Zeile in eine reine Textdatei.
Für unser Beispiel kann sie heißen:
Das_verschlossene_Zimmer_HAINMOOR.epub.asc
2. Öffentlichen Schlüssel importieren
Der öffentliche HAINMOOR-Schlüssel wird ebenfalls auf unseren
entsprechend signierten Downloadseiten veröffentlicht.
Speichere den vollständigen öffentlichen Schlüssel beispielsweise als:
HAINMOOR-public-key.asc
Anschließend kann er mit GnuPG importiert werden:
gpg --import "HAINMOOR-public-key.asc"
Nach dem Import sollte der Fingerprint separat mit dem auf
hainmoor.de veröffentlichten Fingerprint verglichen werden.
3. Signatur überprüfen
Befinden sich EPUB-Datei und Signatur im aktuellen Ordner, kann die
abgetrennte Signatur beispielsweise so überprüft werden:
gpg --verify "Das_verschlossene_Zimmer_HAINMOOR.epub.asc" "Das_verschlossene_Zimmer_HAINMOOR.epub"
Wichtig ist, bei einer abgetrennten Signatur sowohl die
Signaturdatei als auch die
Originaldatei ausdrücklich anzugeben.
Bei einer gültigen Signatur
GnuPG meldet sinngemäß eine korrekte beziehungsweise gute Signatur
und nennt die Identität des verwendeten Schlüssels.
Entscheidend ist anschließend zusätzlich, dass der Fingerprint des
verwendeten öffentlichen Schlüssels mit dem von HAINMOOR
veröffentlichten Fingerprint übereinstimmt.
HAINMOOR · Hilfe & Hintergrund · hainmoor.de
