8
  • O que muda de um commit assinado e verificado para um commit sem assinatura?
  • Qual a vantagem de assinar os commits com a chave GPG?

2 Respostas 2

11
+25

GPG é um sistema de encriptação ponta a ponta utilizando pares, neste sistema os dados são encriptados no envio e decriptados no recebimento. Também é utilizado em assinaturas digitais "para que a integridade e o remetente da mensagem possam ser verificados".

Utilizar GPG protege seus dados de interceptação e também de um possível falso commit. Assim quem vê seu status de commit como "assinado" terá mais confiança em executar um código seu.

Resumindo:

O que muda de um commit assinado e verificado para um commit sem assinatura?

Em aplicativos tipo github e similares, seu commit aparece um status adicional de "verificado".

• Qual a vantagem de assinar os commits com a chave GPG?

  1. Evita interceptação do commit e falso commit em seu nome.
  2. Fornece garantia para quem baixa seu código e o executa.
2

Quando você assina um commit com o GPG, o GitHub coloca um status de "verificado", ou seja, os usuários saberão que é uma versão oficial, além disso, ele é compatível com a RFC 4880, o padrão da IETF.

Eu falei do GitHub, mais você pode usar em outros como o Bitbucket.

Usar o GPG (GNU Privacy Guard - GnuPG) aumenta a credibilidade do seu código, porque o usuário terá a "certeza" (lembre-se que nenhuma criptografia é 100%) de que não vem um vírus junto com o projeto ou ele de alguma forma foi modificado para desviar dados, não muito difícil, já vi alguns no GitHub (sem o GPG).

Ele possui interoperabilidade (capacidade de se comunicar) com o OpenPGP, então você poderia fazer a migração do PGP para o GPG.

Em relação a atualização do projeto, ele é parte da Free Software Foundation, e tem o patrocínio do governo Alemão, então temos atualizações para solucionar bugs e falhas de segurança por mais alguns anos ai, isso é uma grande vantagem em relação ao PGP.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .