Подпись файлов с минимальными усилиями для проверяющего.

Предположим, я хочу опубликовать (или отправить кому-то) файл. Я также хочу, чтобы получатели могли проверить, что любые дальнейшие обновления исходят из того же источника/автора, что и оригинал.

Очевидное решение – отправить оригинальный файл с публичным ключом и подписью GPG файла. Любые последующие обновления также будут подписаны.

Однако проверяющим придется импортировать публичный ключ в свою локальную ключевую базу.

Нет ли более гибкого и менее навязчивого подхода? Может, не GPG, а что-то другое?

Например, вот такое решение было бы идеальным:

toolname --verify --pub path/to/public.key --sig path/to/signature path/to/file-to-verify

Похоже, что GPG может это сделать, но только в 3 специфических шага:

gpg --no-default-keyring --keyring ./temp-keyring.gpg --import pub.key
gpg --no-default-keyring --keyring ./temp-keyring.gpg --verify signature.gpg path/to/file
rm ./temp-keyring.gpg

Связанные вопросы: один, два.

Нет ли более гибкого и менее навязчивого подхода? Может, не GPG, а что-то другое?

BSD signify. Все равно придется передать публичный ключ в какой-то момент, но нет ключевой базы и тому подобного.

toolname --verify --pub path/to/public.key --sig path/to/signature path/to/file-to-verify

Это будет

signify -V -p path/to/public.key -x path/to/signature path/to/file-to-verify

signify достаточно прост в использовании. Полное соответствующее применение можно объяснить в четырех примерах, я думаю;
Я просто процитирую страницу man Теда Унгстона и Марка Эспи:

Создание новой пары ключей:

signify -G -p newkey.pub -s newkey.sec

Публичный ключ newkey.pub очень короткий. Он выглядит так:

RWQihFKGTsDkMj9lWO3W+lIBNgooJtWDgcIT9uD3rd6GGz7ta38UPQMd

и может быть легко включен, например, в QR-код с вашей подписью, если вам нужна нецифровая дистрибуция.

Подписать файл, указав имя подписи:

signify -S -s key.sec -m message.txt -x msg.sig

Если не указывать -x, то было бы message.txt.sig.

Проверка подписи с использованием имени подписи по умолчанию:

signify -V -p key.pub -m generalsorders.txt

Если использовать sha256sum --tag file1 file2… > SHA256, затем signify -S -s path/to/private.key -m SHA256 -e, и отправить SHA256.sig:

Проверка директории релиза с SHA256.sig и полным набором релизных файлов:

signify -C -p /etc/signify/openbsd-76-base.pub -x SHA256.sig

Архивы gzip особенные, так как вы можете встроить подпись в сам архив без изменения сжатых данных.

Подписать архив gzip:

signify -Sz -s key-arc.sec -m in.tgz -x out.tgz

Проверить конвейер gzip:

ftp url | signify -Vz -t arc | tar ztf -