gpg: ADVERTENCIA: el mensaje no estaba protegido por integridad

Estoy un poco confundido sobre lo que esto significa.

Lo que sucedió es que alguien ha cifrado un mensaje para mí usando mi clave pública y lo ha firmado con su clave privada, como de costumbre.

A continuación, descifro el mensaje ...

-bash-3.2$ gpg --decrypt /tmp/det_prod_cred.txt.asc 
gpg: encrypted with 2048-bit ELG-E key, ID 2E52ED13, created 2001-10-15
      "XXXXXXX1"
gpg: encrypted with 4096-bit RSA key, ID 0BB096A1, created 2009-08-12
      "XXXXXXX2"
username = XXXXXXXXXX3  
password = XXXXXXXXXX4
gpg: Signature made Wed 12 Aug 2009 15:47:17 EST using DSA key ID C2E36CC8
gpg: Good signature from "17155x01"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 826A E10D 8AAB 49A0 E9B6  0478 3A70 240F C2E3 6CC8
gpg: WARNING: message was not integrity protected

... Sé que el mensaje es detallado y probablemente debería entender a qué se dirige, pero no estoy seguro de que lo haga, por lo que agradecería cualquier otra explicación al respecto.

¿Básicamente dice que la persona que ha firmado este mensaje no pasa las reglas definidas en mi trustdb?

$ gpg --update-trustdb
gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
gpg: depth: 0  valid:   1  signed:   0  trust: 0-, 0q, 0n, 0m, 0f, 1u

Mientras...

$ gpg --edit-key 0xC2E36CC8
gpg (GnuPG) 1.4.5; Copyright (C) 2006 Free Software Foundation, Inc.
This program comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to redistribute it
under certain conditions. See the file COPYING for details.


pub  1024D/C2E36CC8  created: 2001-10-15  expires: never       usage: SCA 
                     trust: marginal      validity: unknown
sub  2048g/2E52ED13  created: 2001-10-15  expires: never       usage: E   
[ unknown] (1). 17155x01

Tenga en cuenta que solo he confiado marginalmente en la clave, si confío plenamente en ella (que no puedo), ¿desaparecerá el problema?

gnupg

— Darius
fuente

Agregue la etiqueta "gnupg"

— guerda

Respuestas:

Aquí hay dos advertencias diferentes, y creo que los otros respondedores están asumiendo que uno es causado por el otro.

Supongo que la advertencia "el mensaje no estaba protegido por integridad" es su principal preocupación, ya que ese es el título de esta pregunta. Parece que hay varias cosas que pueden causar eso, pero la que acabo de encontrar es cuando la función "Protección MDC" de GPG no está habilitada. No sé qué significa, pero aparentemente es una verificación de integridad del mensaje que prueba que el mensaje no ha sido manipulado.

Aparentemente, esta función está activada de manera predeterminada, pero se desactiva si alguna de las claves del destinatario no especifica que la admiten. Así que acabo de recibir la advertencia por primera vez cuando agregué un nuevo destinatario a un archivo que previamente había estado cifrando solo para mí, presumiblemente porque el nuevo destinatario no dijo que admitía MDC.

Recibí la advertencia de irme agregando --force-mdca mi comando GPG. Todavía no he descubierto si esto impide que el nuevo destinatario descifre el mensaje ...

Estoy bastante seguro de que la otra advertencia, sobre la clave que no se confía, no está relacionada con la advertencia de "no integridad protegida".

— Sam Stokes
fuente

MDC = Código de detección de modificación

— jjlin

MDC solo es necesario en los casos en que no firma el archivo cifrado, porque el destinatario puede verificar la integridad del archivo mediante la firma del remitente. Por lo tanto, solo asegúrese de firmar el archivo cifrado. Sin embargo, para el cifrado simétrico (usando frases de contraseña), consulte ¿Cómo soluciono "ADVERTENCIA: el mensaje no estaba protegido por integridad" cuando se usa el cifrado simétrico GPG?

— gertvdijk

@gertvdijk Recibí el mensaje de un archivo que utilicé -s --symmetric, así que esto solo no ayuda. Sin --force-mdc -s --symmetricembargo, usar el cifrado funcionó.

— mirabilos

@mirabilos Hmm. No experimenté eso. Es un mensaje falso, de todos modos, ya que uno puede validar la integridad en función de la firma.

— gertvdijk

Hm seguro Pero ni siquiera es mejor mostrar la advertencia, por lo --force-mdcque -s --symmetrices útil agregar cuando se usa .

— mirabilos

En gpg, todavía no "confías" en el remitente. Entonces, aunque sea de su compañero @ lo que sea, no ha establecido su nivel de confianza en gpg para lo que sea necesario para no recibir ese mensaje :)

Al menos eso es lo que pienso; Podría estar equivocado. Sin embargo, los documentos GPG deberían ayudar.

— Seda del mediodía
fuente

Estaba pensando en la misma línea, pero para probar esto, temporalmente confié en su clave "en última instancia", y descifré el mensaje nuevamente, sin embargo, la advertencia no ha cambiado. Tenía muchas esperanzas por un segundo allí :)

— Darius

Interesante ... Entonces, ahora solo estoy adivinando, tiene algo que ver con el hecho de que tal vez no esté registrado en ningún servidor de claves. Sin embargo, me rindo, sugeriría los documentos :) Lo siento.

Lo sedoso dijo: no confías en el remitente.

Sin embargo, es posible que también deba firmar la clave del remitente.

— Broam
fuente