Signatur prüfen per GPG

[4nn4]

Hallo,

ich habe GPG installiert, sodass es auch über das Kontext-Menü anwählbar ist.

Zudem habe ich die MSI-Datei KeePassXC-2.6.6-Win64 sowie die sig-Datei KeePassXC-2.6.6-Win64.msi heruntergeladen.

Intuitiv habe ich mir das so vorgestellt, dass ich die msi- (oder in einem zweiten Versuch die sig-Datei) nehme, Kontextmenü GnuPG64-Dateien->Signatur Prüfen... , wähle dann nochmals nach Aufforderung die signierte Datei aus und komme dann allerdings nur bis hier:

Warum geht das so nicht?
Wie verwendet man die o. g. Funktion des Kontext-Menüs richtig?

Danke+Grüße
4nn4

 

[Marco01_809]

Zudem habe ich die MSI-Datei KeePassXC-2.6.6-Win64 sowie die sig-Datei KeePassXC-2.6.6-Win64.msi heruntergeladen.

Scheinbar hast du Dateiendungen in Windows ausgeblendet? Die msi-Datei ist der Installer. Die Signatur müsste .msi.sig heißen.

 

[RalphS]

Wenn das Windows ist, dann müßtest Du Dir ja die gpg4win Suite installiert haben.
Da ist auch Kleopatra dabei. Damit kann man Signaturdateien einfach per Doppelklick öffnen und so die zugehörige Datei überprüfen.

Aber eigentlich müßtest Du das auch übers Kontextmenü bekommen... zumindest ist das bei mir so.

Zur Sicherheit: die beiden Dateien hast Du im selben Ordner gespeichert?

 

[4nn4]

Scheinbar hast du Dateiendungen in Windows ausgeblendet? Die msi-Datei ist der Installer. Die Signatur müsste .msi.sig heißen.

Das dürfte sich auf den Dateityp aber nicht auswirken, oder?
Exploreransicht:

Ansicht/Auswahl im GPG-Programm:

Ergänzung (4. Januar 2022)

Zur Sicherheit: die beiden Dateien hast Du im selben Ordner gespeichert?

Ja, sind beide im Download-Ordner.

Wenn das Windows ist, dann müßtest Du Dir ja die gpg4win Suite installiert haben.

Es heißt GPG SX. Ist schon länger installiert. Ich versuche es mal mit einer aktuellen "4win"-Version.

Ergänzung (4. Januar 2022)

PS: Jetzt habe ich gpg4win4.4.0 geladen, da gibt es im Kontextmenü aber nicht mehr die Option "Signatur prüfen". Es gibt einfach nur "Prüfen", aber da kommt dann die Meldung:
"

KeePassXC-2.6.6-Win64.msi → KeePassXC-2.6.6-Win64.msi.out: Entschlüsseln fehlgeschlagen: Keine Daten.
"
Entschlüsseln wollte ich auchgar nicht.

 

[wupi]

Mach mal einen Screenshot. Normalerweise reicht ein Doppelklick auf die .sig Datei oder Rechtsklick prüfen.
Den Public key hast du installiert ?

https://keepassxc.org/verifying-signatures/

 

[4nn4]

Normalerweise reicht ein Doppelklick auf die .sig Datei oder Rechtsklick prüfen.

Ich habe dann auf https://keepassxc.org/keepassxc_master_signing_key.asc den öff. Schlüssel gefunden und diesen als Textdatei runtergeladen und per "Importiere" hinterlegt:

Interpretiere ich die Ausgabe richtig, dass die Signatur der Datei nicht erfolgreich überprüft werden konnte und bis hier von einer Ausführung der Installationsdatei abgeraten werden kann?

Eigentlich soll doch so ein Programm wie gpg/Kleopatra die Signaturdatei und die signierte Datei gegenüberstellen und ausgeben, dass eine Übereinstimmung der Signaturen vorliegt, oder?

Ich habe auch mit Konsolenbefehlen experimentiert - nichts führt zum Erfolg.

 

[Giggity]

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Das Video erklärt es ganz gut.

Ergänzung (10. März 2022)

Du musst um die Sig zu prüfen dem importierten öffentlichen Schlüssel vertrauen. Das checkst du mit dem Fingerprint.