Firma GPG per i software

[marcobi1964]

Ciao a tutti, dopo ciò che ho letto nei giorni scorsi riguardo la compromissione di Xubuntu, sono venuto a conoscenza che esiste un altro modo, oltre al controllo Hash SHA256 / MD5, per il controllo dei file scaricati dalla rete. La firma GPG, utilizza una chiave pubblica e una privata dell'autore del file, e questo dovrebbe garantire l'integrità e l'autenticità del file scaricato(in realtà questa firma non è disponibile per tutti i file). Mi chiedo se qualcuno di voi utilizza questo metodo per la propria sicurezza, e se è davvero efficace. Grazie.

[Zigul]

Si tratta di un sistema di verifica che ho usato poche volte (anche perché non sempre è disponibile nelle pagine di download), principalmente tramite l'interfaccia grafica Kleopatra su Windows. Come efficacia è superiore al semplice controllo degli hash, ma è anche una procedura che richiede qualche click in più, o qualche riga di codice in più se si preferisce il terminale.
Se vuoi fare qualche test, puoi provare a scaricare e verificare programmi come Cryptomator e VeraCrypt che nella pagina di download hanno tutto il necessario.