Überprüfen der Signatur - Versionsgeschichte

Zygentoma: Entferne ein paar Absätze, um Seite kompakter zu machen

2019-01-25T07:46:40Z

Entferne ein paar Absätze, um Seite kompakter zu machen

← Nächstältere Version		Version vom 25. Januar 2019, 09:46 Uhr
Zeile 1:		Zeile 1:
	[[Kategorie:Mitmachen]]		[[Kategorie:Mitmachen]]
	[[Kategorie:Signaturen]]		[[Kategorie:Signaturen]]

	Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in der heutigen Zeit nicht verlassen.		Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in der heutigen Zeit nicht verlassen.

Zeile 7:		Zeile 6:

	Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.		Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.


	== Schlüssel besorgen ==		== Schlüssel besorgen ==


	'''Unseren (alten) GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:'''		'''Unseren (alten) GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:'''
Zeile 26:		Zeile 23:

	'''Achtung:''' Nur zu überprüfen, ob die Key-IDs (bspw. 0x01DE5D6C) übereinstimmen reicht nicht! Diese können sehr leicht gefälscht werden.		'''Achtung:''' Nur zu überprüfen, ob die Key-IDs (bspw. 0x01DE5D6C) übereinstimmen reicht nicht! Diese können sehr leicht gefälscht werden.


	'''Für die aktuellen Gluon Beta-Releases muss man [[Benutzer:Rampone\|Rampone]]s GPG-Key importieren:'''		'''Für die aktuellen Gluon Beta-Releases muss man [[Benutzer:Rampone\|Rampone]]s GPG-Key importieren:'''
Zeile 34:		Zeile 30:

	== Download der Hashsummen und Signaturen ==		== Download der Hashsummen und Signaturen ==


	Nach dem Download der beiden Dateien		Nach dem Download der beiden Dateien
Zeile 48:		Zeile 43:

	Die Signatur ist also korrekt - auch wenn der Key inzwischen nicht mehr gültig ist (FIXME: Update!).		Die Signatur ist also korrekt - auch wenn der Key inzwischen nicht mehr gültig ist (FIXME: Update!).


	Bei den Gluon Beta-Releases wird Signatur und Unterschrift in einer Datei veröffentlicht:		Bei den Gluon Beta-Releases wird Signatur und Unterschrift in einer Datei veröffentlicht:

Nunatak: Bugfix: detached signature

2015-11-07T13:53:10Z

Bugfix: detached signature

← Nächstältere Version		Version vom 7. November 2015, 15:53 Uhr
Zeile 41:		Zeile 41:
	prüft man dann einfach die Signatur mit		prüft man dann einfach die Signatur mit

	$ gpg --verify SHA256SUMS.sign		$ gpg --verify SHA256SUMS.sign SHA256SUMS
	gpg: Signature made Wed 27 Aug 2014 10:40:01 PM CEST using RSA key ID FA27C6E4		gpg: Signature made Wed 27 Aug 2014 10:40:01 PM CEST using RSA key ID FA27C6E4
	gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"		gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"
	gpg: ~~WARNING~~: This key ~~is not certified with a trusted signature~~!		gpg: Note: This key has expired!
	~~gpg: There is no indication that the signature belongs to the owner.~~
	Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4		Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4

	Die Signatur ist also korrekt.		Die Signatur ist also korrekt - auch wenn der Key inzwischen nicht mehr gültig ist (FIXME: Update!).

Echse: /* Download der Hashsummen und Signaturen */ Anpassung für Rampones aktuelle inline binary sig

2015-10-31T08:27:31Z

Download der Hashsummen und Signaturen: Anpassung für Rampones aktuelle inline binary sig

← Nächstältere Version		Version vom 31. Oktober 2015, 10:27 Uhr
Zeile 51:		Zeile 51:


	Bei den Gluon Beta-Releases ~~sind es die beiden Dateien~~		Bei den Gluon Beta-Releases wird Signatur und Unterschrift in einer Datei veröffentlicht:
	* [https://213.165.82.133/images/factory/SHA512SUMS SHA512-Summen]		<!--* [https://213.165.82.133/images/factory/SHA512SUMS SHA512-Summen]-->
	* [https://213.165.82.133/images/factory/SHA512SUMS.sign Signaturen]		* [https://213.165.82.133/images/factory/SHA512SUMS.sign Signaturen]
	und ~~man prüft analog zu oben:~~		Diese wird mittels
			$ gpg <SHA512SUMS.sign > SHA512SUMS
			überprüft und in ein lesbares Format übersetzt.

	~~$ gpg --verify SHA512SUMS~~.~~sign~~		Den Fingerprint des Schlüssels prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].

			==Hash prüfen==
	~~Den Fingerprint prüft~~ man ~~am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].~~		Hat man eine authentische Liste mit den Hashes wie oben beschrieben erhalten und überprüft kann man nun selbst den Hash-Wert der heruntergeladenen Firmware (hier am Beispiel des Routers TL WR841n mit der Hardware-Version 9) berechnen

	~~Dann~~ kann man selbst den Hash-Wert der heruntergeladenen Firmware (hier am Beispiel des Routers TL WR841n mit der Hardware-Version 9) berechnen

	$ sha256sum ff-kbu-tl-wr841n-v9-1.2.1b.bin		$ sha256sum ff-kbu-tl-wr841n-v9-1.2.1b.bin

Hermes am 15. September 2015 um 14:21 Uhr

2015-09-15T14:21:44Z

← Nächstältere Version		Version vom 15. September 2015, 16:21 Uhr
Zeile 2:		Zeile 2:
	[[Kategorie:Signaturen]]		[[Kategorie:Signaturen]]

	Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen ~~Zeiten~~ nicht verlassen.		Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in der heutigen Zeit nicht verlassen.

	Die Datei mit den Hash-Werten ist mit unserem GPG-Schlüssel signiert. Der heimliche Austausch einer Freifunk-Firmware und des entsprechenden Hash-Wertes ist also nicht möglich, da die Signatur nur bei unveränderter Hash-Wert-Datei gültig bleibt. Unser ~~öffentliche~~ GPG-Schlüssel ist auf gängigen Keyservern hinterlegt.		Die Datei mit den Hash-Werten ist mit unserem GPG-Schlüssel signiert. Der heimliche Austausch einer Freifunk-Firmware und des entsprechenden Hash-Wertes ist also nicht möglich, da die Signatur nur bei unveränderter Hash-Wert-Datei gültig bleibt. Unser öffentlicher GPG-Schlüssel ist auf den gängigen Keyservern wie pgp.mit.edu und subkeys.pgp.net hinterlegt.

	Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.		Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.

	Unseren (alten) GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:
			== Schlüssel besorgen ==


			'''Unseren (alten) GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:'''
	# gpg --recv-key '0FA27C6E4'		# gpg --recv-key '0FA27C6E4'

	Achtung: Der alte Schlüssel ist nur noch bis Ende 2014 gültig gewesen, so dass die Überprüfung der Signatur aus 2014 zu einer Warnung führt:		'''Achtung:''' Der alte Schlüssel ist nur noch bis Ende 2014 gültig gewesen, so dass die Überprüfung der Signatur aus 2014 zu einer Warnung führt:
	gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"		gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"
	gpg: Note: This key has expired!		gpg: Note: This key has expired!
	Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4		Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4

	Den seit 2015 gültigen GPG-Schlüssel für Signaturen aus 2015 erhält man ~~entsprechend~~:		'''Den seit 2015 gültigen GPG-Schlüssel für Signaturen aus 2015 erhält man mit:'''
	# gpg --recv-key 0xFEE7BD18		# gpg --recv-key 0xFEE7BD18

	Künftige Releases werden also mit diesem Key signiert sein.		Künftige Releases werden also mit diesem Key signiert sein.

			'''Achtung:''' Nur zu überprüfen, ob die Key-IDs (bspw. 0x01DE5D6C) übereinstimmen reicht nicht! Diese können sehr leicht gefälscht werden.

	Für die aktuellen Gluon Beta-Releases muss man ~~Rampones~~ GPG-Key importieren:
			'''Für die aktuellen Gluon Beta-Releases muss man [[Benutzer:Rampone\|Rampone]]s GPG-Key importieren:'''
	# gpg --recv-key 0x01DE5D6C		# gpg --recv-key 0x01DE5D6C

	Dieser Key hat den Fingerprint 456A 3DB8 7D34 F3C5 2B2C 3FA8 7585 3500 01DE 5D6C. Am besten sollte man überprüfen, dass dieser mit dem in der Konsole angegebenen Schlüssel übereinstimmt.		Dieser Key hat den Fingerprint 456A 3DB8 7D34 F3C5 2B2C 3FA8 7585 3500 01DE 5D6C. Am besten sollte man überprüfen, dass dieser mit dem in der Konsole angegebenen Schlüssel übereinstimmt und ob er in der Geschichte dieses Wiki-Eintrags geändert/manipuliert wurde. Weiterhin kann man überprüfen, dass er dem Schlüssel entspricht, den man über die Keyserver bekommt, wenn man nach "rampone %$($(#@AT@$($(# gmail.com" sucht. Natürlich ohne Leer- und Sonderzeichen.


	== Download der Hashsummen und Signaturen ==		== Download der Hashsummen und Signaturen ==
Zeile 49:		Zeile 54:
	* [https://213.165.82.133/images/factory/SHA512SUMS SHA512-Summen]		* [https://213.165.82.133/images/factory/SHA512SUMS SHA512-Summen]
	* [https://213.165.82.133/images/factory/SHA512SUMS.sign Signaturen]		* [https://213.165.82.133/images/factory/SHA512SUMS.sign Signaturen]
	und man prüft ~~man~~ analog zu oben:		und man prüft analog zu oben:

	$ gpg --verify SHA512SUMS.sign		$ gpg --verify SHA512SUMS.sign

Hermes am 13. September 2015 um 22:37 Uhr

2015-09-13T22:37:13Z

← Nächstältere Version		Version vom 14. September 2015, 00:37 Uhr
Zeile 20:		Zeile 20:

	Künftige Releases werden also mit diesem Key signiert sein.		Künftige Releases werden also mit diesem Key signiert sein.


			Für die aktuellen Gluon Beta-Releases muss man Rampones GPG-Key importieren:
			# gpg --recv-key 0x01DE5D6C

			Dieser Key hat den Fingerprint 456A 3DB8 7D34 F3C5 2B2C 3FA8 7585 3500 01DE 5D6C. Am besten sollte man überprüfen, dass dieser mit dem in der Konsole angegebenen Schlüssel übereinstimmt.


			== Download der Hashsummen und Signaturen ==


	Nach dem Download der beiden Dateien		Nach dem Download der beiden Dateien
	* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS SHA256 Summen]		* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS SHA256-Summen]
	* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS.sign ~~Signatur~~]		* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS.sign Signaturen]
	prüft man dann einfach die Signatur mit		prüft man dann einfach die Signatur mit

Zeile 34:		Zeile 44:

	Die Signatur ist also korrekt.		Die Signatur ist also korrekt.


			Bei den Gluon Beta-Releases sind es die beiden Dateien
			* [https://213.165.82.133/images/factory/SHA512SUMS SHA512-Summen]
			* [https://213.165.82.133/images/factory/SHA512SUMS.sign Signaturen]
			und man prüft man analog zu oben:

			$ gpg --verify SHA512SUMS.sign


	Den Fingerprint prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].		Den Fingerprint prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].

Hermes am 13. September 2015 um 16:54 Uhr

2015-09-13T16:54:20Z

← Nächstältere Version		Version vom 13. September 2015, 18:54 Uhr
Zeile 22:		Zeile 22:

	Nach dem Download der beiden Dateien		Nach dem Download der beiden Dateien
	* [https://kbu.freifunk.net/files/release/~~1.2.1~~/SHA256SUMS SHA256 Summen]		* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS SHA256 Summen]
	* [https://kbu.freifunk.net/files/release/~~1.2.1~~/SHA256SUMS.sign Signatur]		* [https://kbu.freifunk.net/files/release/latest/SHA256SUMS.sign Signatur]
	prüft man dann einfach die Signatur mit		prüft man dann einfach die Signatur mit

Kerel: add category: Signaturen.

2015-09-07T13:58:52Z

add category: Signaturen.

← Nächstältere Version		Version vom 7. September 2015, 15:58 Uhr
Zeile 1:		Zeile 1:
	[[Kategorie:Mitmachen]]		[[Kategorie:Mitmachen]]
			[[Kategorie:Signaturen]]

	Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen Zeiten nicht verlassen.		Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen Zeiten nicht verlassen.

Nunatak: Neuer GPG-Key für 2015 ergänzt

2015-02-03T15:53:07Z

Neuer GPG-Key für 2015 ergänzt

← Nächstältere Version		Version vom 3. Februar 2015, 17:53 Uhr
Zeile 6:		Zeile 6:
	Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.		Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.

	Unseren GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:		Unseren (alten) GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:
	# gpg --~~keyserver pgp~~.~~mit~~.~~edu~~ --recv-key ~~'0FA27C6E4'~~		# gpg --recv-key '0FA27C6E4'

			Achtung: Der alte Schlüssel ist nur noch bis Ende 2014 gültig gewesen, so dass die Überprüfung der Signatur aus 2014 zu einer Warnung führt:
			gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"
			gpg: Note: This key has expired!
			Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4

			Den seit 2015 gültigen GPG-Schlüssel für Signaturen aus 2015 erhält man entsprechend:
			# gpg --recv-key 0xFEE7BD18

			Künftige Releases werden also mit diesem Key signiert sein.

	Nach dem Download der beiden Dateien		Nach dem Download der beiden Dateien
Zeile 21:		Zeile 31:
	Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4		Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4

	Die Signatur ist also korrekt. Den Fingerprint prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].		Die Signatur ist also korrekt.

			Den Fingerprint prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].

	Dann kann man selbst den Hash-Wert der heruntergeladenen Firmware (hier am Beispiel des Routers TL WR841n mit der Hardware-Version 9) berechnen		Dann kann man selbst den Hash-Wert der heruntergeladenen Firmware (hier am Beispiel des Routers TL WR841n mit der Hardware-Version 9) berechnen

D0b am 20. November 2014 um 22:10 Uhr

2014-11-20T22:10:01Z

← Nächstältere Version		Version vom 21. November 2014, 00:10 Uhr
Zeile 1:		Zeile 1:
			[[Kategorie:Mitmachen]]
	Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen Zeiten nicht verlassen.		Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen Zeiten nicht verlassen.

D0b: Eigene Seite für bessere Übersicht.

2014-11-17T01:07:21Z

Eigene Seite für bessere Übersicht.

Neue Seite

Damit sichergestellt ist, dass die heruntergeladene Freifunk-Firmware auch wirklich die ist, welche wir erstellt und zum Download angeboten haben, sollten unbedingt die Hash-Werte (d.h. ein eindeutiger Fingerabdruck) der Firmware-Dateien und die korrekte Signatur der von uns bereitgestellten Hash-Wert-Datei geprüft werden. Dieses ist vermutlich der schwierigste Teil der Installation und wird von Einzelnen gelegentlich übergangen, getreu der Kölschen Lebensweisheit ''"Et hät noch immer joot jejange"''. Darauf sollte man sich aber in heutigen Zeiten nicht verlassen.

Die Datei mit den Hash-Werten ist mit unserem GPG-Schlüssel signiert. Der heimliche Austausch einer Freifunk-Firmware und des entsprechenden Hash-Wertes ist also nicht möglich, da die Signatur nur bei unveränderter Hash-Wert-Datei gültig bleibt. Unser öffentliche GPG-Schlüssel ist auf gängigen Keyservern hinterlegt.

Wer sich mit GPG noch nicht auskennt, kann sich z.B. unter [https://www.gnupg.org www.gnupg.org] aufschlauen.

Unseren GPG-Schlüssel bekommt man z.B. unter Linux/Unix von der Kommandozeile aus so:
# gpg --keyserver pgp.mit.edu --recv-key '0FA27C6E4'

Nach dem Download der beiden Dateien
* [https://kbu.freifunk.net/files/release/1.2.1/SHA256SUMS SHA256 Summen]
* [https://kbu.freifunk.net/files/release/1.2.1/SHA256SUMS.sign Signatur]
prüft man dann einfach die Signatur mit

$ gpg --verify SHA256SUMS.sign
gpg: Signature made Wed 27 Aug 2014 10:40:01 PM CEST using RSA key ID FA27C6E4
gpg: Good signature from "Freifunk-KBU Release Signing Key (Used by jenkins.kbu.freifunk.net) <info@kbu.freifunk.net>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: E3B3 AF2B 6B54 149B 9313 4EC0 E782 EAC7 FA27 C6E4

Die Signatur ist also korrekt. Den Fingerprint prüft man am besten einmal offline bei unseren [http://kbu.freifunk.net/wiki/index.php?title=Hauptseite regelmäßigen Treffen].

Dann kann man selbst den Hash-Wert der heruntergeladenen Firmware (hier am Beispiel des Routers TL WR841n mit der Hardware-Version 9) berechnen

$ sha256sum ff-kbu-tl-wr841n-v9-1.2.1b.bin
2a3df4ea2e10cc9697a80fa0db7cf962fca052ec5d669779ae79e0345da16b30 ff-kbu-tl-wr841n-v9-1.2.1b.bin

und mit dem Hash-Wert in der signierten und zuvor korrekt verifizierten Datei vergleichen:

$ grep ff-kbu-tl-wr841n-v9-1.2.1b.bin SHA256SUMS
2a3df4ea2e10cc9697a80fa0db7cf962fca052ec5d669779ae79e0345da16b30 ./ff-kbu-tl-wr841n-v9-1.2.1b.bin
2a3df4ea2e10cc9697a80fa0db7cf962fca052ec5d669779ae79e0345da16b30 ./untested/barrier_breaker/ff-kbu-tl-wr841n-v9-1.2.1b.bin

Damit ist die heruntergeladenen Datei auch genau die, die wir für Freifunk erstellt und angeboten haben. Unter der Voraussetzung, dass uns niemand den privaten GPG-Schlüssel entwendet und das Passwort zur Sicherung des privaten Schlüssels geknackt hat. Letzteres ist sehr sehr unwahrscheinlich.