Hinzufügen einer GPG-Signatur zu einem bereits signierten Dokument?

Question

Wir möchten einen Workflow implementieren, bei dem mehrere Personen ein Dokument digital signieren müssen. Wenn ich mehrere geheime Schlüssel in meinem eigenen Schlüsselanhänger haben, kann ich etwas so einfaches wie:

gpg --sign -u userid1 -u userid2 filename 

Aber was soll ich tun, wenn ich ein bereits unterzeichnetes Dokument haben, und ich möchte eine Signatur hinzufügen? Eine Lösung wäre, wenn jeder einzelne Signaturen für das Dokument erzeugt und diese dann alle in einer Zip-Datei oder ähnlichem zusammenpackt, aber der Overhead dort ist wesentlich höher. Gibt es einen besseren Weg?

Answer 1

Sie brauchen keine ZIP-Dateien: Sie können abgekoppelte Signaturen einfach in einer einzigen Datei verketten und alle werden nacheinander verifiziert.

% gpg -b -u $ID1 -o prova.c.sig1 prova.c 
% gpg -b -u $ID2 -o prova.c.sig2 prova.c 
% cat prova.c.sig1 prova.c.sig2 >prova.c.sig 
% gpg prova.c.sig 
gpg: Signature made Mar 1 Set 18:16:09 2009 CEST using RSA key ID $ID1 
gpg: Good signature from "Lapo Luchini <lapo@lapo.it>" 
gpg: Signature made Mar 1 Set 18:16:25 2009 CEST using RSA key ID $ID2 
gpg: Good signature from "Lapo Luchini <lapo@lapo.it>" 

Ich habe festgestellt, dass dies auch mit ASCII-Panzern Dateien hart arbeitet in diesem Fall ist die Größe der Ausgabedatei ist suboptimal, da der Header für jede Signatur wiederholt wird und es könnte besser sein, zunächst die binäre verketten Signaturen und sie ASCII-Rüstung das ganze Ding.

Ich kenne das OpenPGP-Format nicht gut genug, um sicher zu sein, aber ich denke, Sie können wahrscheinlich auch eine Software haben, die bei einer Datei und einigen freistehenden Signaturen eine einzige angehängte Signatur mit den aus allen extrahierten Signaturpaketen erstellt sie würden zwar mehr Zeit benötigen, um implementiert zu werden (wenn überhaupt möglich: vielleicht gibt es verschiedene Pakete für angehängte und getrennte Signaturen und die eine kann nicht in die andere konvertiert werden, aber ich würde wetten, dass das Paket nur ein Typ ist).