gpg anahtarlarını uzun sayılabilecek zamandır kullanıyorum.Hatta bu amaçla Truva Linux sunucusunda bir sks keyserver oluşturdum.
http://keyserver.truvalinux.org.tr/
Bildiğim kadarı ile Türkiye 'de başkaca bir keyserver bulunmuyor.
Truva Linux sunucusunda bulunan sks-keyserver diğer keyserver havuzuna dahil değildir.
yani gpg ortak anahtar havuzundan key almıyor ve göndermiyor.
tamamen gpg key gönderen kişilere hizmet veriyor.
Bir kaç gündür gpg-keyserver üzerine araştırmalar yapmaktayım.
Okuduğumda üzüldüğüm bir kaç makaleye rast geldim.
bu makaleler gpg-key zehirlenmesinden bahsediyor.
key zehirlenmesi normalde varolmayan art niyetli kişiler tarafından yapılıyor.
Bana göre bir keyin aynı günde ve dakikada 55K kişi tarafından imzalanması pek olasılık dahilinde değil.
Okumak isterseniz makale -> https://dkg.fifthhorseman.net/blog/openpgp-certificate-flooding.html
sks keyserverlar yapıları gereği gönderiler public anahtarları yayınlamak üzere yapılandırılmış sunucular.
zehirlenmiş key havuza dahil olduğunda ilgili keyi silmek pek olası değil.
çünkü havuz vasıtası ile diğer key-serverlere aktarılıyor.
Daniel Kahn Gillmor ilgili makelesinde üzgün olduğunu ve key saldırısından kurtulabilmek için sadece
https://keys.openpgp.org/ adresinin kullanılmasını tavsiye ediyor.
https://keys.openpgp.org/ ilginç bir özelliği var.
diğer key-serverlar gibi gpg-keyi direkt olarak kabul etmiyor.
gpg-keye ait olan e-posta adresine link gönderilip doğrulama yapıldıktan sonra gpg-keyi sunucuya kabul ediyor.
gpg-keyinizi sunucudan silmek isterseniz gene e-posta üzerinden gönderilen link ile işlem yapmamız gerekiyor.
Bu oldukça güvenli.
Sks Keyserverde bu özellik bulunmamaktadır.
Daniel Kahn Gillmor 'a ait zehirlenmiş gpg-keyi deneme yapmak için indirdim.
keyi anahtarlığımdan silmek bile neredeyse 4 dakika sürdü.
Ekran çıktısı bu şekilde.
┌─[✗]─[caylak@rihanna]─[~]
└──╼ $time gpg --delete-keys C4BC2DDB38CCE96485EBE9C2F20691179038E5C6
gpg (GnuPG) 2.2.4; Copyright (C) 2017 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.
pub ed25519/F20691179038E5C6 2019-01-19 Daniel Kahn Gillmor <dkg@fifthhorseman.net>
Bu anahtar, anahtar zincirinden silinsin mi? (e/H ya da y/N) e
real 3m54,288s
user 3m49,708s
sys 0m0,268s
┌─[caylak@rihanna]─[~]
└──╼ $
gpg-keyinizi yayınlamak için başka çözümlerde bulunmakta.
1- gpg-keyinizi web sunucunuz üzerinden yayınlamak.
2- gpg-keyinizi web sayfası üzerinden yayınlamak
2- gpg-keyinizi DNS server üzerinden yayınlamak.
Kısa zamanda bu yöntemleri kullanarak gpg-keyimi yayınlamayı düşünüyorum.
ilgili makaleler:
https://dkg.fifthhorseman.net/blog/openpgp-certificate-flooding.html
https://gist.github.com/rjhansen/67ab921ffb4084c865b3618d6955275f
https://comparite.ch/encryption-types
[…] caylak.truvalinux.org.tr […]
YanıtlaSil