ダウンロードファイル、本当に信頼できますか？GPG署名で安全に検証する 🛡️

10月 22, 2026

—

こんにちは！ITセキュリティに関心のある皆さん、お会いできて嬉しいです。😊

私たちは毎日、インターネットから数多くのソフトウェアをダウンロードしています。便利ですが、もしかしたらこんなことを考えたことはありませんか？「今ダウンロードしているこのファイルは、本当に開発者が作ったオリジナルのファイルなのだろうか？誰かが途中でマルウェアを仕込んだのではないか？😱」

このような不安を解消してくれる非常に強力で信頼性の高い方法が、まさにGPG(GNU Privacy Guard)を利用したデジタル署名検証です。今日は、簡単なBashスクリプトを通して、このプロセスがどのように行われるのかを簡単かつ詳細に掘り下げていきます！

スクリプトの概要

今日分析するスクリプトはこれです。有名なテキストエディタであるNotepad++を安全にダウンロードし、検証するプロセスが含まれています。

#!/bin/bash

# gpgサーバー登録
wget https://notepad-plus-plus.org/gpg/nppGpgPub.asc
gpg --import nppGpgPub.asc

# インストールファイルと署名ファイルのURL
EXE_URL="https://github.com/notepad-plus-plus/notepad-plus-plus/releases/download/v8.8.5/npp.8.8.5.Installer.x64.exe"
SIG_URL="https://github.com/notepad-plus-plus/notepad-plus-plus/releases/download/v8.8.5/npp.8.8.5.Installer.x64.exe.sig"
EXE_FILE="npp.8.8.5.Installer.x64.exe"
SIG_FILE="npp.8.8.5.Installer.x64.exe.sig"

echo "[+] 파일 다운로드"
curl -L -o "$EXE_FILE" "$EXE_URL"
curl -L -o "$SIG_FILE" "$SIG_URL"

echo "[+] GPG 서명 검증 (키가 등록되어 있어야 함)"
gpg --verify "$SIG_FILE" "$EXE_FILE"

スクリプトの段階別詳細分析 🔍

ステップ1：開発者の「公式認証マーク」を登録する 🔑

# gpgサーバー登録
wget https://notepad-plus-plus.org/gpg/nppGpgPub.asc
gpg --import nppGpgPub.asc

最初に行うのは、Notepad++開発者の公開鍵(Public Key)をダウンロードし、自分のGPGキーチェーンに登録することです。

wget https://…/nppGpgPub.asc: wgetはウェブからファイルをダウンロードするコマンドです。ここでnppGpgPub.ascファイルがまさに開発者の「公開鍵」ファイルです。これを「公式認証マーク」や「公式署名スタンプ」と考えると理解しやすいでしょう。このスタンプがあって初めて、後で受け取ったファイルが本物かどうかを照合できますよね？
gpg –import nppGpgPub.asc: ダウンロードした「公式署名スタンプ」を自分のコンピューターのGPGプログラムに登録するプロセスです。「これがNotepad++の公式スタンプだよ！」とコンピューターに教えているわけです。

ステップ2：ダウンロードするファイル情報を設定する 📝

# インストールファイルと署名ファイルのURL
EXE_URL="..."
SIG_URL="..."
EXE_FILE="..."
SIG_FILE="..."

この部分は、ダウンロードするファイルのインターネットアドレス(URL)と、自分のコンピューターに保存するファイル名を変数(一種の別名)として事前に設定するプロセスです。

EXE_URL: 私たちがインストールするNotepad++プログラム(.exeファイル)のアドレスです。
SIG_URL: デジタル署名ファイル(.sigファイル)のアドレスです。この小さなファイルの中には、開発者が自身の「秘密鍵(Private Key)」で暗号化した情報が含まれています。この署名ファイルこそが、まさに「開発者が押した公式スタンプ」そのものと言えます。

ちょっと待って！公開鍵と秘密鍵？ 🧐 デジタル署名は一対の鍵（公開鍵、秘密鍵）で構成されます。

– 秘密鍵(Private Key): 開発者のみが安全に保管し、ファイルを署名（スタンプを押すとき）する際に使用します。

– 公開鍵(Public Key): 誰でも取得できるように公開され、署名を検証（スタンプが本物か確認するとき）する際に使用します。

開発者が秘密鍵でロック（署名）したものは、その秘密鍵と対になる公開鍵でのみ開く（検証する）ことができます。

ステップ3：インストールファイルと署名ファイルをダウンロードする 📥

echo "[+] 파일 다운로드"
curl -L -o "$EXE_FILE" "$EXE_URL"
curl -L -o "$SIG_FILE" "$SIG_URL"

次に、curlというコマンドを使って、前述で設定したアドレスから2つのファイルを実際にダウンロードします。

curl -L -o [保存する名前] [ダウンロードアドレス]: curlはwgetのようにファイルをダウンロードする強力なツールです。このコマンドを通じて、私たちはインストールファイルのオリジナル(npp.8.8.5.Installer.x64.exe)と、そのファイルの真正性を証明する署名ファイル(…exe.sig)の両方をダウンロードします。

ステップ4：待望の署名検証！ ✨

echo "[+] GPG 서명 검증 (키가 등록되어 있어야 함)"
gpg --verify "$SIG_FILE" "$EXE_FILE"

いよいよ最も重要な瞬間です。gpg –verifyコマンドでダウンロードしたファイルが本物かどうかを最終確認します。このコマンドは以下のことを行います。

署名ファイル($SIG_FILE)を開きます。
ステップ1で登録しておいた開発者の公開鍵（「公式署名スタンプ」）を使って署名を確認します。
署名が有効であれば、その署名がインストールファイル($EXE_FILE)のものと一致するかを数学的に計算して照合します。

結果はどうなるでしょうか？

✅ 成功: gpg: Good signature from “Notepad++ …” このメッセージが表示されたら成功です！ダウンロードしたファイルは開発者が作成したオリジナルそのものであり、途中で誰も改ざんしていないことを意味します。安心してインストールして大丈夫です。🎉
❌ 失敗: gpg: BAD signature from “Notepad++ …” このメッセージが表示されたら深刻な警告です！🚩 ファイルが開発者によって署名された後に変更されたか、署名自体が偽物である可能性があります。絶対にファイルを実行せず、直ちに削除してください。

なぜここまでしなければならないのでしょうか？ 🤔

「公式ホームページからダウンロードすれば安全なのでは？」と思うかもしれません。しかし、ハッカーが公式ダウンロードサーバーをハッキングしたり、ユーザーのインターネット接続の途中で傍受（中間者攻撃、Man-in-the-Middle）してファイルをすり替える可能性は常に存在します。

GPG署名検証は、このようなあらゆる脅威から私たちを保護してくれます。ハッカーがインストールファイルをマルウェアに置き換えることはできても、開発者の「秘密鍵」なしには有効な「デジタル署名」を絶対に作成できないからです。

これで皆さんは、単にダウンロードするだけでなく、ファイルの「来歴」を確認する賢明なユーザーになりました。重要なソフトウェアを入手する際は、ぜひGPG署名を確認する習慣を身につけてください！あなたのコンピューターははるかに安全になるでしょう。💪

タグ: GPG, PGP, Bash, Shell Script, Cybersecurity, Software, Verification, Digital Signature, Notepad++, Security