Diferenças entre as versões de 4 e 18 (14 versões de distância)
⇤ ← Revisão 4e 2010-07-31 20:04:24 →
Tamanho: 3834
Editor: AdrianoRafaelGomes
Comentário:
← Revisão 18e 2011-04-29 19:03:00 → ⇥
Tamanho: 5398
Editor: AdrianoRafaelGomes
Comentário: adicionada situação no gpg --verify: assinatura combina com certificado, mas chave do slvs não é assinada pelo usuário
Deleções são marcadas assim. Adições são marcadas assim.
Linha 3: Linha 3:
/!\ '''Página incompleta, em construção.''' /!\ Se você quer ter certeza de que um certificado foi realmente emitido pelo SoftwareLivreVS, esta página lhe explicará como fazer a validação da autenticidade do certificado. Esse método garante a autenticidade do certificado e é o método recomendado.
Linha 5: Linha 5:
Se você quer ter certeza de que um certificado foi realmente emitido pelo SoftwareLivreVS, esta página lhe explicará como fazer a validação da autenticidade do certificado. Esse método garante a autenticidade do certificado e é o recomendado. Por outro lado, se você não está muito interessado em ter certeza de que o certificado é autêntico, talvez você se contente em apenas fazer o download do certificado a partir da nossa página. Fazer isso não valida a autenticidade do certificado.
Linha 7: Linha 7:
Se você não está muito preocupado em ter certeza de que o certificado é autêntico, talvez você se contente em apenas fazer o download do certificado a partir da nossa página. Esse método não garante a autenticidade do certificado.

== Instruções para validação de certificados emitidos pelo SoftwareLivreVS ==		 == Instruções para validação de certificados de participação emitidos pelo SoftwareLivreVS ==
Linha 18: Linha 16:
A nomenclatura dos arquivos segue o seguinte padrão: {{{slvs_ + nome_e_ano_do_evento + numero_do_certificado + extensão}}}. A nomenclatura dos arquivos segue este padrão: {{{slvs_ + nome_e_ano_do_evento + numero_do_certificado + extensão}}}.
Linha 28: Linha 26:
Vamos supor que você queira validar um certificado emitido pelo SoftwareLivreVS. Nesse exemplo, vou mostrar como proceder usando o GnuPG em um computador com [http://www.debian.org/ Debian GNU/Linux]. Se você não usa GnuPG e/ou Debian, ainda assim você poderá adaptar esse exemplo para funcionar com os softwares que você usa. Vamos supor que você queira validar um certificado emitido pelo SoftwareLivreVS. Nesse exemplo, vamos mostrar como proceder usando o GnuPG em um computador com [http://www.debian.org/ Debian GNU/Linux]. Se você não usa GnuPG e/ou Debian, ainda assim você poderá adaptar esse exemplo para funcionar com os softwares que você usa.

Siga estes passos, usando o terminal:
Linha 35: Linha 35:
 1. obtenha uma cópia da nossa chave pública OpenPGP, se você ainda não a tiver:
 {{{
gpg --keyserver hkp://pgp.mit.edu --recv-keys 7BF93232
}}}
Linha 38: Linha 43:
 {i} Você poderá obter esses dois arquivos em http://eventos.softwarelivre-vs.org/certificados/, se você ainda não os tiver. Nós sempre enviamos esses arquivos por e-mail para cada participante dos nossos eventos que nos informar seu nome e e-mail.

 1. obtenha uma cópia da nossa chave pública OpenPGP, se você ainda não a tiver:		  {i} Você poderá obter esses dois arquivos em http://eventos.softwarelivre-vs.org/certificados/, se você ainda não os tiver. Nós sempre enviamos esses dois arquivos por e-mail para cada participante que informar o nome e endereço de e-mail durante a inscrição no local do evento. Se precisar fazer download dos arquivos, você poderá fazer assim:
Linha 42: Linha 45:
gpg --keyserver hkp://pgp.mit.edu --recv-keys 3702146D wget http://eventos.softwarelivre-vs.org/certificados/dls2010/1/slvs_dls2010_1.pdf
wget http://eventos.softwarelivre-vs.org/certificados/dls2010/1/slvs_dls2010_1.pdf.asc
Linha 49: Linha 53:
 :) Se a resposta do comando acima for parecida com a mensagem abaixo, significa que o certificado é autêntico:
 {{{
gpg: Signature made Sáb 31 Jul 2010 14:49:27 BRT using RSA key ID 3702146D
gpg: Good signature from "Adriano Rafael Gomes <adrianorg@gmail.com>"		  {i} Neste exemplo, estamos validando o certificado contido no arquivo {{{slvs_dls2010_1.pdf}}}, correspondente ao evento "Dia da Liberdade de Software 2010", certificado número "1". Adapte o nome do arquivo para o seu próprio caso.

 Dependendo da resposta do comando acima, podemos ter estas situações:

  a. :( A assinatura e o certificado não combinam, portanto não foi possível confirmar a autenticidade do certificado:
  {{{
gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: BAD signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"
Linha 54: Linha 62:
 :( Mas se a resposta do comando acima for parecida com a seguinte mensagem, significa que não foi possível confirmar a autenticidade do certificado:
 {{{
gpg: Signature made Sáb 31 Jul 2010 14:49:27 BRT using RSA key ID 3702146D
gpg: BAD signature from "Adriano Rafael Gomes <adrianorg@gmail.com>"
  a. :( Embora a assinatura e o certificado combinem, não foi possível ter certeza de que a assinatura foi feita pelo SoftwareLivreVS, podendo ter sido forjada. Para resolver esta situação, você deverá participar de uma das nossas [:FestaDeAssinaturaDeChaves:festas de assinatura de chaves OpenPGP]:
  {{{
gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: Good signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"
gpg: AVISO: Esta chave não está certificada com uma assinatura confiável!
gpg: Não há indicação de que a assinatura pertence ao dono.
Impressão da chave primária: 4D68 5050 22A3 A26C CFBE 97C8 5CB3 7391 7BF9 3232
Linha 59: Linha 71:
 {i} Nas duas possíveis respostas vistas acima, você deve prestar atenção no identificador da nossa chave, que deve ser igual a {{{3702146D}}}, e nos textos "Good signature" ou "BAD signature", que informam, respectivamente, se o certificado é autêntico ou não.
  a. :) A assinatura e o certificado combinam, e a assinatura é confiável, portanto foi possível confirmar a autenticidade do certificado:
  {{{
gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: Good signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"
}}}

 {i} Nas três possíveis respostas mostradas acima, você deverá prestar atenção no identificador da nossa chave (key ID), que deverá ser igual a {{{7BF93232}}}, e nos textos "Good signature" ou "BAD signature", e nos possíveis avisos.

Para conhecer melhor o sistema OpenPGP, você pode participar de uma das nossas [:FestaDeAssinaturaDeChaves:festas de assinatura de chaves OpenPGP].

ValidarCertificado

Se você quer ter certeza de que um certificado foi realmente emitido pelo SoftwareLivreVS, esta página lhe explicará como fazer a validação da autenticidade do certificado. Esse método garante a autenticidade do certificado e é o método recomendado.

Por outro lado, se você não está muito interessado em ter certeza de que o certificado é autêntico, talvez você se contente em apenas fazer o download do certificado a partir da nossa página. Fazer isso não valida a autenticidade do certificado.

Instruções para validação de certificados de participação emitidos pelo SoftwareLivreVS

{i} Somente garantimos a autenticidade do certificado se você seguir as instruções contidas nesta página.

Os certificados emitidos pelo SoftwareLivreVS são disponibilizados em http://eventos.softwarelivre-vs.org/certificados/, no seguinte formato:

  • certificado: um arquivo no formato PDF, contendo o certificado para impressão (exemplo: slvs_dls2010_1.pdf)

  • assinatura digital: um arquivo contendo a assinatura digital do certificado, para fins de validação (exemplo: slvs_dls2010_1.pdf.asc)

A nomenclatura dos arquivos segue este padrão: slvs_ + nome_e_ano_do_evento + numero_do_certificado + extensão.

Assinatura digital

Os certificados emitidos pelo SoftwareLivreVS são assinados digitalmente para garantir a autenticidade. Usamos chaves [http://pt.wikipedia.org/wiki/Openpgp OpenPGP] para assinar os nossos certificados.

Para validar nossos certificados, você precisará usar um software compatível com o padrão OpenPGP. Recomendamos o [http://pt.wikipedia.org/wiki/GNU_Privacy_Guard GNU Privacy Guard] (GnuPG).

Exemplo

Vamos supor que você queira validar um certificado emitido pelo SoftwareLivreVS. Nesse exemplo, vamos mostrar como proceder usando o GnuPG em um computador com [http://www.debian.org/ Debian GNU/Linux]. Se você não usa GnuPG e/ou Debian, ainda assim você poderá adaptar esse exemplo para funcionar com os softwares que você usa.

Siga estes passos, usando o terminal:

  1. instale o GnuPG, se ele ainda não estiver instalado: 
    sudo aptitude install gnupg
  2. obtenha uma cópia da nossa chave pública OpenPGP, se você ainda não a tiver: 
    gpg --keyserver hkp://pgp.mit.edu --recv-keys 7BF93232
  3. obtenha os seguintes arquivos, se você ainda não os tiver:
    • uma cópia do arquivo do certificado no formato PDF
    • uma cópia do arquivo contendo a assinatura digital

    {i} Você poderá obter esses dois arquivos em http://eventos.softwarelivre-vs.org/certificados/, se você ainda não os tiver. Nós sempre enviamos esses dois arquivos por e-mail para cada participante que informar o nome e endereço de e-mail durante a inscrição no local do evento. Se precisar fazer download dos arquivos, você poderá fazer assim: 

    wget http://eventos.softwarelivre-vs.org/certificados/dls2010/1/slvs_dls2010_1.pdf
wget http://eventos.softwarelivre-vs.org/certificados/dls2010/1/slvs_dls2010_1.pdf.asc
  4. de posse desses dois arquivos, e com a ajuda do GnuPG, você poderá agora validar a autenticidade do certificado: 
    gpg --verify slvs_dls2010_1.pdf.asc

    {i} Neste exemplo, estamos validando o certificado contido no arquivo slvs_dls2010_1.pdf, correspondente ao evento "Dia da Liberdade de Software 2010", certificado número "1". Adapte o nome do arquivo para o seu próprio caso. Dependendo da resposta do comando acima, podemos ter estas situações:

    1. :( A assinatura e o certificado não combinam, portanto não foi possível confirmar a autenticidade do certificado: 

      gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: BAD signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"

    2. :( Embora a assinatura e o certificado combinem, não foi possível ter certeza de que a assinatura foi feita pelo SoftwareLivreVS, podendo ter sido forjada. Para resolver esta situação, você deverá participar de uma das nossas [:FestaDeAssinaturaDeChaves:festas de assinatura de chaves OpenPGP]: 

      gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: Good signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"
gpg: AVISO: Esta chave não está certificada com uma assinatura confiável!
gpg:        Não há indicação de que a assinatura pertence ao dono.
Impressão da chave primária: 4D68 5050 22A3 A26C CFBE  97C8 5CB3 7391 7BF9 3232

    3. :) A assinatura e o certificado combinam, e a assinatura é confiável, portanto foi possível confirmar a autenticidade do certificado: 

      gpg: Signature made Sáb 18 Set 2010 18:20:13 BRT using RSA key ID 7BF93232
gpg: Good signature from "Equipe de Certificação do SoftwareLivreVS <certificados@softwarelivre-vs.org>"

    {i} Nas três possíveis respostas mostradas acima, você deverá prestar atenção no identificador da nossa chave (key ID), que deverá ser igual a 7BF93232, e nos textos "Good signature" ou "BAD signature", e nos possíveis avisos.

Para conhecer melhor o sistema OpenPGP, você pode participar de uma das nossas [:FestaDeAssinaturaDeChaves:festas de assinatura de chaves OpenPGP].

ValidarCertificado (editada pela última vez em 2013-08-26 19:08:44 por anônimo)