(Here is an English version of this text)
Die Integrität eines heruntergeladenen Softwarepakets kann durch einen kryptografischen Hash oder sogar eine kryptografischen Signatur überprüft werden, sofern ein solcher Hash oder eine solche Signatur vom Ersteller des Softwarepakets generiert und in einer mit der Software verknüpften Hash- oder Signaturdatei verfügbar gemacht wurde.
File Hashes können lediglich verwendet werden, um die Integrität einer Datei
zu überprüfen, um sicherzugehen, dass die Datei nicht von Dritten verändert wurde.
Kryptografische Signaturen geben zusätzlich Aufschluss darüber, wer die Signatur erstellt hat und wann sie erstellt wurde. Damit ist es möglich, die Authentizität einer Datei zu überprüfen, d.h. ob sie tatsächlich aus einer vertrauenswürdigen Quelle stammt.
Mit File Hashes kann die Integrität einer Datei überprüft werden. Dabei können verschiedene Hash-Funktionen verwendet werden, die unterschiedliche Grade an Sicherheit bieten. Momentan werden die Hash-Funktionen SHA256 und SHA512 als sicher genug angesehen, um die Integrität von Dateien zu gewährleisten. Ältere Verfahren wie SHA1 oder MD5 sollten dagegen nicht mehr verwendet werden, weil sie als zu unsicher angesehen werden.
Meinberg stellt für einige Download-Dateien zusätzliche SHA512SUM- oder SHA256SUM-Dateien zur Verfügung, z.B. für das Meinberg Treiberpaket für Linux, das außer als Git-Repo auch als Sourcecode-Archiv mit entsprechenden Signatur-Dateien angeboten wird.
Auf Linux und anderen Unix-ähnlichen Systemen sind die Tools zum Erstellen oder Überprüfen eines Hashs normalerweise vorinstalliert, so dass man einfach einen Befehl in einem Terminalfenster ausführen können, z.B.:
sha512sum -c mbgtools-lx.tar.gz.sha512sum mbgtools-lx.tar.gz: OK
Ähnlich ist es mit SHA256-Prüfsummen, bei denen man lediglich sha512 durch sha256 ersetzen muss.
Für Programmpaketen von Meinberg für Windows ist es eigentlich nicht nötig, File Hashes zu haben und diese zu überprüfen, da diese bereits mit digitalen Signaturen versehen sind.
Dennoch werden für einige Pakete für Windows auch SHA512- oder SHA256-Hashes angeboten, denn mit diesen lässt sich die Integrität eines Pakets direkt nach einem Download sehr einfach überprüfen.
Auf Windows-Systemen stehen Programme wie sha256sum oder sha512sum ebenfalls zur Verfügung,
wenn man Programmpakete wie git for Windows oder die Programmierumgebung MSYS/MinGW
installiert hat und darunter ein Kommandozeilen-Fenster öffnet.
Die Vorgehensweise ist dann genauso wie für Linux beschrieben.
Aktuelle Windows-Versionen (z.B. Windows 10 und neuer) bieten in der PowerShell einen Befehl an, mit dem man einen File Hash erzeugen oder überprüfen kann.
GetContent dkwin.exe.sha256sum Get-FileHash dkwin.exe -Algorithm SHA256
Der erste Befehl zeigt den Hash an, der ursprünglich für die Datei dkwin.exe erzeugt wurde und
in der Datei dkwin.exe.sha256sum gespeichert ist. Die Datei-Endung deutet an, dass hier der SHA256-Algorithmus
verwendet wurde, um den Hash-Wert zu berechnen.
Der zweite Befehl berechnet den Hash für die vorliegende Datei dkwin.exe,
wobei wichtig ist, dass der gleiche Algorithmus verwendet wird, also hier SHA256.
Die Datei dkwin.exe unterscheidet sich nicht von der Original-Datei, wenn beide angezeigten Hash-Werte
identisch sind, wobei sich die Groß-/Kleinschreibung durchaus unterscheiden darf.
In älteren Windows-Versionen (z.B. Windows 7) steht der
oben genannte PowerShell-Befehl noch nicht zur Verfügung.
Auf solchen Systemen kann der certUtil-Befehl in einer normalen Kommandozeile (cmd.exe) verwendet werden,
um einen File Hash zu erzeugen oder zu überprüfen:
type dkwin.exe.sha256sum certUtil -hashfile dkwin.exe SHA256 | findstr /v “hash”
Der erste Befehl zeigt den in der Hash-Datei dkwin.exe.sha256sum gespeicherten Hash an, der
für die Datei dkwin.exe mithilfe des SHA256-Algorithmus generiert wurde.
Der zweite Befehl berechnet den Hash für die vorliegende Datei dkwin.exe,
wobei wichtig ist, dass der gleiche Algorithmus verwendet wird, also hier SHA256.
Die Datei dkwin.exe unterscheidet sich nicht von der Original-Datei, wenn beide angezeigten Hash-Werte
identisch sind, wobei sich die Groß-/Kleinschreibung durchaus unterscheiden darf und in der Ausgabe des
certUtil-Befehl Leerzeichen enthalten sein können.
GnuPrivacyGuard (GnuPG or GPG) ist eine Open-Source-Alternative zu der älteren, proprietären Software PrettyGoodPrivacy (PGP). Beide implementieren Public Key-Verschlüsselungsverfahren, wie sie im openPGP-Standard (RFC4880) festgelegt sind.
Public Key-Verschlüsselungsverfahren verwenden Schlüsselpaare, die aus jeweils einem privaten und einem öffentlichen Schlüssel bestehen.
Wie der Name schon sagt, darf der private Schlüssel nur dem Eigentümer des Schlüsselpaars zugänglich sein, der ihn beispielsweise zum Erstellen einer kryptografischen Signatur für eine Datei verwenden kann.
Die Signatur wird häufig in einer zusätzlichen Datei gespeichert, die denselben Grundnamen wie die Originaldatei hat, jedoch mit zusätzlichen Erweiterung. Diese Signaturdatei wird dan zusammen mit der Originaldatei weitergegeben.
Die angehängte Dateinamenerweiterung lautet häufig .sig, wenn es sich um eine Signatur im Binärformat handelt,
oder .asc, wenn die Signatur in einem bestimmten ASCII-Textformat gespeichert ist.
Für die Funktionsweise ergibt sich jedoch kein Unterschied.
Zur Überprüfung einer Signatur muss der öffentliche Schlüssel verwendet werden, der zu dem privaten Schlüssel gehört,
der zur Erstellung der Signatur verwendet wurde. Daher sollte der öffentliche Schlüssel, wie der Name schon sagt, öffentlich verfügbar und leicht zu finden sein.
Öffentliche Schlüssel sind sehr oft auf dem öffentlichen Schlüsselserver des openPGP-Projekts verfügbar:
Auf Linux und anderen Unix-ähnlichen Systemen ist das Programm gpg normalerweise vorinstalliert,
so dass man einfach den gpg-Befehl mit passenden Parametern in einem Terminalfenster ausführen können, z. B.: