gnupg - 我如何强制在签名开始之前而不是完成时获取 gpg 签名时间戳？

Question

我的系统用于确保我的程序生成的结果文件的完整性:

1. 我的程序执行了一些附加到 results.txt 的工作，其大小变为几 GB。
2. 我的程序将当前时间时间戳附加到文件中。
3. results.txt 已关闭。
4. 我的程序调用 gpg --sign --detach results.txt 来创建分离签名。由于 results.txt 的大小，这需要几分钟的时间。 pinentry 程序会弹出，并提示执行该程序的人输入他们的 key 密码。

时间流逝...结果文件已存档...

很久以后，除了验证签名以将文件内容归属于签名者之外，我还希望能够检查签名是否是在文件关闭后立即进行的，以确保文件在结案并签字。

当我在 Ubuntu 上使用 gpg 2.0.17 (libgcrypt 1.5.0) 开发这个系统时，我了解到进入签名的时间戳本质上是当时 gpg --sign 的时间戳。叫。这很有效，因为我可以相信写入文件的时间戳和 gpg 签名开始之间的时间间隔不到 1 秒，我认为对于任何手动篡改来说时间太短了。作为检查结果完整性的一部分，我检查了 gpg 签名时间戳在文件末尾写入的时间戳之后不到 1 秒。这非常有效，直到...

我使用 gpg 2.0.27(Gpg4win 2.2.4、libgcrypt 1.6.3)将系统移植到 Windows 7，我注意到在这个环境中，gpg 签名中包含的时间戳实际上是 gpg 签名结束，或文件关闭后大约 2 分钟。这段时间足够长，可能会篡改文件。

有没有办法让 gpg2 在计算实际签名之前获取时间戳？

Answer 1

您可以通过 --fake-system-time 选项强制使用固定时间戳。

--faked-system-time epoch
    This option is only useful for testing; it sets the system time back
    or forth to epoch which is the number of seconds elapsed since the
    year 1970.  Alternatively epoch may be given as a full ISO time string
    (e.g. "20070924T154812").

确定当前时间，并在执行签名操作时将其传递给GnuPG。