Überprüfung der Integrität

Um sicher zu sein, dass SIe keine manipulierte Version von GnuPG installieren, können Sie eindeutig die Integrität überprüfen. Dies geht folgendermaßen:

Überprüfen mit gpg

Wenn Sie schon eine vertrauenswürdige Version von GnuPG installiert haben, können Sie einfach die mitgelieferte, digitale Unterschrift überprüfen. Wenn Sie z. B. die Unterschrift der Datei gnupg-1.4.12.tar.bz2 überprüfen wollten, würden Sie folgendes Kommando benutzen:

Dieses Kommando überprüft, ob die Datei mit der digitalen Unterschrift zu der Quelldatei passt. Sie sollten eine Nachricht sehen, die lautet, dass die Unterschrift korrekt ist und aus diesem Signaturschlüssel erzeugt wurde. Stellen Sie sicher, dass Sie den richtigen Schlüssel besitzen: Gleichen Sie entweder den Fingerabdruck des Schlüssels mit anderen (sicheren) Quellen ab, oder prüfen Sie, ob er mit einem anderen, vertrauenswürdigen Schlüssel unterschrieben wurde.

Benutzen Sie niemals eine Version von GnuPG zur Prüfung der Integrität, die sie gerade eben heruntergeladen haben! Benutzen Sie statt dessen eine schon länger installierte (vertrauenswürdige) Version.

Überprüfung mit sha1sum

Wenn Sie keine Gelegenheit haben, eine vertrauenswürdige Version von GnuPG zur Überprüfung zu benutzen, müssen Sie die SHA-1-Prüfsumme verwenden. Angenommen, Sie hätten die Datei gnupg-1.4.12.tar.bz2 heruntergeladen, dann würden Sie das folgende Kommando eingeben:

Prüfen Sie, ob die Ausgabe zu der passt, die auf dieser Seite angegeben ist. Ein Beispiel für eine sha1sum-Prüfsumme ist:

Um sicher zu gehen, dass diese Seite nicht manipuliert wurde, können Sie die Liste unten mit jener vergleichen, die in der entsprechenden Ankündigungsmail an verschiedene Mailing-Listen verschickt wurde.

Zusammenfassung der SHA1-Prüfsummen

Um es Ihnen entwas einfacher zu machen, haben wir alle SHA1-Prüfsummen für Software, die von unserer Homepage heruntergeladen werden kann, hier aufgelistet.