GnuPG 편집하기

'''GNU Privacy Guard; GPG'''

GnuPG는 RFC4880(''PGP'')에서 정의한 OpenPGP 표준을 구현한 프로그램이자 일종의 체계이다. GnuPG는 데이터�암호화하고 서명하기 위해 사용된다. ''GPG'' 라고도 하는 GnuPG는 다른 애플리케이션과 쉽게 통합할 수 있는 기능이 있는 명령줄(CLI) 도구입니다. 단독으로 사용되기 보단 다양한 어플리케이션 내부에서 암호화나 인증 등을 위해 사용된다. GnuPG는 S/MIME 및 Secure Shell(ssh)을 지원한다.

== GPG Key ==

=== 구성 ===
GPG 키는 일반적인 [[공개키 기반 구조|PKI]]와 같이 공개 키, 개인 키 두가지로 구성된다.

# '''공개 키 (Public Key)''': 이 키는 다른 사람과 공유할 수 있으며, 이를 통해 다른 사람이 소유자에게 데이터를 암호화해서 보낼 수 있다.
# '''개인 키 (Private Key)''': 이 키는 비밀로 유지되며, 소유자만 식별해야 한다 있습니다. 다른 사람이 소유자의 공개 키로 암호화한 데이터를 복호화하거나, 소유자가 서명한 데이터의 진위를 검증할 때 사용한다.

자세한 내용은 [[공개키 기반 구조]] 또는 [[공개키 암호화]] 참고

=== 리눅스 패키지 배포 시 ===

==== 패키지의 디지털 서명 ====
소프트웨어 개발자는 배포할 패키지를 자신의 GPG '''개인 키'''로 서명한다. 이 디지털 서명은 패키지에 포함된 파일이 출처에서부터 변조되지 않았다는 것을 증명한다.

* 개발자는 패키지를 생성한 후, 자신의 개인 키로 해당 패키지에 서명을 추가한다.
* 배포 사이트 또는 패키지 관리자(예: APT, RPM, NPM)는 이 서명을 함께 배포한다.

==== 패키지의 무결성 검증 ====
사용자는 패키지를 설치하기 전에 GPG '''공개 키'''를 사용해 해당 패키지의 서명을 검증한다.

* 사용자는 개발자가 제공한 '''공개 키'''를 다운로드하여 패키지를 검증한다.
* 공개 키로 서명을 확인했을 때, 서명이 유효하면 해당 패키지는 원래 작성자가 만든 것이며, 전송 과정에서 변조되지 않았음을 의미한다.
* 만약 서명이 유효하지 않거나 키가 일치하지 않으면, 패키지가 변조되었거나 신뢰할 수 없는 출처에서 왔을 가능성이 있다.

==== GPG 키 검증 사용하지 않기 ====
만약 업데이트 과정에서 GPG 키 검증에 실패했다는 메시지가 나오는 경우 아래 옵션을 추가하여 키 검증을 생략할 수 있다. 단, 키 검증에 실패한 패키지는 변조된 패키일 가능성이 매우 높으므로 특별한 경우가 아니면 사용하지 않아야 한다. 간혹 개발자의 이전 키를 가지고 검증을 시도하여 실패하는 경우가 있을 수 있는데, 이 경우 개발자의 키가 유출되거나 하여 개발자가 키를 변경한 경우일 수 있다. 이런 경우 개발자나 패키지의 공식 사이트에 가면 최신 키를 확인할 수 있다. 꼭 이런 과정을 거친 뒤 사용하도록 하자.


APT 사용 시<syntaxhighlight lang="shell">
apt-get --allow-unauthenticated upgrade
</syntaxhighlight>YUM 사용 시<syntaxhighlight lang="shell">
yum update --nogpgcheck
</syntaxhighlight>RPM 사용 시<syntaxhighlight lang="shell">
rpm -i --nosignature
</syntaxhighlight>

== 참고 문헌 ==

* [https://gnupg.org/ 공식 홈페이지]