大家好！😄 今天，我们将轻松详细地了解一种“完整性验证”方法，当您从互联网下载文件时，可以确认该文件是否真的是开发者创建的原始文件，以及是否有人在中间偷偷篡改过。
即使您不是开发者，普通用户也能轻松跟随操作，所以如果您想将您的电脑安全提升一个等级，请务必阅读到最后！💻🛡️
🤔 等等，“完整性验证”是什么？
当我们从互联网下载安装文件（如.exe、.dmg等）时，实际上存在着看不见的风险。黑客可能会在中间拦截文件，植入恶意代码，然后重新分发。😱
完整性（Integrity）验证是指确认您收到的文件是原始文件，并且没有任何改动，甚至没有1比特的更改，处于完美状态的过程。此外，还会同时进行“认证（Authentication）”过程，确认该文件确实是由官方开发者发布的。
今天，我们将通过GPG（GNU Privacy Guard）这一全球广泛使用的加密工具，亲身体验这个过程！
✨ 核心原理：非对称密钥加密（feat. 锁和钥匙）
GPG的完整性验证采用了一种非常巧妙的“非对称密钥”方式。为了便于理解，我们将其比喻为锁和钥匙。
- 私钥（Private Key）🤫：这是只有您自己拥有的秘密钥匙。您可以用这把钥匙“锁定”（签名）数据。开发者绝不会将这把钥匙公开给外部。
- 公钥（Public Key）🔑：这是与私钥成对的锁。这把锁可以分发给世界上任何人。您只能用这把锁“打开”（验证）那些用私钥锁定的东西。
[验证流程]
- 开发者（签名）✍️：Notepad++开发者在发布程序时，会使用自己的私钥（秘密钥匙）为安装文件创建“电子签名”。这个签名就像一份质量保证书，表明“这个文件是我制作的，内容就是这样”。
- 用户（验证）🔍：我们提前获取Notepad++的公钥（锁）。然后，使用开发者的公钥来验证下载的安装文件和“电子签名”文件。
- 结果 ✨：如果公钥（锁）与签名完美匹配，会怎样？
- 认证 ✅：这个文件确实是由拥有该公钥对应私钥的人（即官方开发者）签名的！
- 完整性 ✅：文件内容自签名以来，没有发生任何改变！ （如果文件内容有任何细微的改变，签名值将完全不同，导致验证失败）
现在，我们通过下面的脚本来亲自验证这个原理吧！
🚀 实战！通过脚本学习GPG完整性验证
以下是一个Shell脚本，用于下载著名的文本编辑器“Notepad++”的安装文件，并使用GPG验证其安全性。让我们逐行深入了解！
#!/bin/bash
# 注册GPG服务器
wget https://notepad-plus-plus.org/gpg/nppGpgPub.asc
gpg --import nppGpgPub.asc
# 安装文件和签名文件地址
EXE_URL="https://github.com/notepad-plus-plus/notepad-plus-plus/releases/download/v8.8.5/npp.8.8.5.Installer.x64.exe"
SIG_URL="https://github.com/notepad-plus-plus/notepad-plus-plus/releases/download/v8.8.5/npp.8.8.5.Installer.x64.exe.sig"
EXE_FILE="npp.8.8.5.Installer.x64.exe"
SIG_FILE="npp.8.8.5.Installer.x64.exe.sig"
echo "[+] 파일 다운로드"
curl -L -o "$EXE_FILE" "$EXE_URL"
curl -L -o "$SIG_FILE" "$SIG_URL"
echo "[+] GPG 서명 검증 (키가 등록되어 있어야 함)"
gpg --verify "$SIG_FILE" "$EXE_FILE"####
1️⃣ 步骤：获取可信的“锁”（公钥）
# 注册GPG服务器
wget https://notepad-plus-plus.org/gpg/nppGpgPub.asc
gpg --import nppGpgPub.asc- wget …: 首先，从Notepad++官方网站下载提供的公钥文件（nppGpgPub.asc）。这就是开发者的“锁”。🔑
- gpg –import …: 将下载的公钥（锁）注册到您电脑的GPG密钥列表中。现在您的电脑已准备好验证Notepad++开发者创建的签名。
2️⃣ 步骤：下载安装文件和“保证书”（签名）
# 安装文件和签名文件地址
...
echo "[+] 파일 다운로드"
curl -L -o "$EXE_FILE" "$EXE_URL"
curl -L -o "$SIG_FILE" "$SIG_URL"- curl … “$EXE_FILE” …: 下载实际的安装程序（npp.8.8.5.Installer.x64.exe）。📦
- curl … “$SIG_FILE” …: 下载安装文件对应的开发者“电子签名”文件（.sig）。这就是用私钥加密的“质量保证书”。✍️
3️⃣ 步骤：神奇的时刻！验证签名
echo "[+] GPG 서명 검증 (키가 등록되어 있어야 함)"
gpg --verify "$SIG_FILE" "$EXE_FILE"- gpg –verify [签名文件] [原始文件]: 终于到了最关键的时刻！这个命令要求GPG使用我们在第一步中注册的公钥来验证签名文件（.sig）和原始安装文件（.exe）。
验证成功时的输出示例：
gpg: Good signature from "Notepad++ <don.h@free.fr>" [unknown]您看到“Good signature”这条消息了吗？🎉 这条消息保证了以下两个事实：
- 认证完成：此文件确实由“Notepad++”开发团队签名。
- 完整性保障：下载的安装文件自开发者签名以来，没有被篡改过一个字符。
如果文件损坏或有人植入了恶意代码，将会出现“BAD signature”这样的可怕警告消息！🚨
###
结语
这看起来可能有点复杂，但原理很简单：“开发者用秘密钥匙签名，我们用公开的锁来验证！”
现在，您不仅可以下载文件，还可以亲手验证其安全性，掌握了强大的武器。在安装重要程序时，不妨养成今天学到的GPG验证习惯，更安全地保护您宝贵的电脑吧？😊
标签: GPG, 完整性验证, 文件验证, 信息安全, Notepad++, Shell脚本, 公钥, 私钥
发表回复