ElectrumウォレットのGPG署名の検証方法

Last updated at 2024-05-13Posted at 2024-05-13

趣旨

Electrumをインストールする時にGPG署名で改ざんされてないか確認しないといけないのですが、マニュアルがないと難しくて実行するのに時間がかかったので記録を残します。

GPGが何かわからない場合は以下のWebサイトで事前に学習することをお勧めします。

ドキュメントはここにあります。

ファイルのダウンロード

まずは公式サイトのシェルコマンドを確認します。

公式サイトに書いてあるインストール用コマンド

以下の項目は実行してもインストール・ダウンロードするだけなので既に実行したものとして進めます。

Install dependecines:
sudo apt-get install python3-pyqt5 libsecp256k1-dev python3-cryptography

Download package:
wget https://download.electrum.org/4.5.4/Electrum-4.5.4.tar.gz

Verify signatures:
wget https://download.electrum.org/4.5.4/Electrum-4.5.4.tar.gz.asc

検証

Verify signatures:

gpg --verify Electrum-4.5.4.tar.gz.asc

実行結果

gpg: assuming signed data in 'Electrum-4.5.4.tar.gz'
gpg: Signature made Thu Mar 14 10:56:32 2024 CET
gpg:                using RSA key 637DB1E23370F84AFF88CCE03152347D07DA627C
gpg: Good signature from "Stephan Oeste (it) <it@oeste.de>" [unknown]
gpg:                 aka "Emzy E. (emzy) <emzy@emzy.de>" [unknown]
gpg:                 aka "Stephan Oeste (Master-key) <stephan@oeste.de>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 9EDA FF80 E080 6596 04F4  A76B 2EBB 056F D847 F8A7
     Subkey fingerprint: 637D B1E2 3370 F84A FF88  CCE0 3152 347D 07DA 627C
gpg: Signature made Thu Mar 14 10:20:03 2024 CET
gpg:                using RSA key 0EEDCFD5CAFB459067349B23CA9EEEC43DF911DC
gpg: Good signature from "SomberNight/ghost43 (Electrum RELEASE signing key) <somber.night@protonmail.com>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 0EED CFD5 CAFB 4590 6734  9B23 CA9E EEC4 3DF9 11DC

# この部分が署名の検証に必要
gpg: Signature made Thu Mar 14 07:44:45 2024 CET
gpg:                using RSA key 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6
gpg: Good signature from "Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>" [unknown]
gpg:                 aka "ThomasV <thomasv1@gmx.de>" [unknown]
gpg:                 aka "Thomas Voegtlin <thomasv1@gmx.de>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
# このフィンガープリントが後で検証する署名と一致すれば良い
Primary key fingerprint: 6694 D8DE 7BE8 EE56 31BE  D950 2BD5 824B 7F94 70E6

以下のように公式サイトのHow to verify GPG signatures項目のThomasV's public keyをクリックします。

PGPの公開鍵が以下のように表示されるのでCtl+Aでコピーします。

以下のコマンドを同じディレクトリで打ってThomasV.ascの中にコピーしたデータをペーストして保存します。

nano ThomasV.asc

保存した公開鍵をgpgにインポートします。
gpg --import ThomasV.asc

実行結果

gpg: key 2BD5824B7F9470E6: "Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>" not changed
gpg: Total number processed: 1
gpg:              unchanged: 1

key 2BD5824B7F9470E6という部分を確認して以下のコマンドに適用します。
gpg --fingerprint 2BD5824B7F9470E6

実行結果

pub   rsa4096 2011-06-15 [SC]
      6694 D8DE 7BE8 EE56 31BE  D950 2BD5 824B 7F94 70E6
uid           [ unknown] Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
uid           [ unknown] ThomasV <thomasv1@gmx.de>
uid           [ unknown] Thomas Voegtlin <thomasv1@gmx.de>
sub   rsa4096 2011-06-15 [E]

6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6の部分が先ほどの部分と一致してますね。

Electrum-4.5.4.tar.gz.ascとThomasV's public keyのフィンガープリントがこれで一致しました。

ただこれだけではThomasV's public keyが改ざんされてないかを証明できないので別途ThomasVが公開していて改ざんできない場所でこのフィンガープリント（6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6）と同じデータを公開してるのを確認できれば完璧です。

先ほどのHow to verify GPG signaturesに戻ります。hereと書かれている場所がリンクになってるのでクリックします。

クリック先はYouTubeのThomas Voegtlinによるプレゼン動画になっています。

背景をよく見ると6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6と書いてありますね。これでThomasV's public keyも改ざんされていないことが確認できます。

次にキーを信頼できるものとしてGPGに設定します。以下のコマンドを打ちます。
gpg --edit-key 2BD5824B7F9470E6

gpg (GnuPG) 2.2.40; Copyright (C) 2022 g10 Code GmbH
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.


pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1). Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)  ThomasV <thomasv1@gmx.de>
[ unknown] (3)  Thomas Voegtlin <thomasv1@gmx.de>

gpg> 1 
# 1を選択しています

pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1)* Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)  ThomasV <thomasv1@gmx.de>
[ unknown] (3)  Thomas Voegtlin <thomasv1@gmx.de>

gpg> 2　
# 2を選択しています

pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1)* Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)* ThomasV <thomasv1@gmx.de>
[ unknown] (3)  Thomas Voegtlin <thomasv1@gmx.de>

gpg> 3
# 3を選択しています

pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1)* Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)* ThomasV <thomasv1@gmx.de>
[ unknown] (3)* Thomas Voegtlin <thomasv1@gmx.de>

gpg> trust
# trustレベルを設定します

pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1)* Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)* ThomasV <thomasv1@gmx.de>
[ unknown] (3)* Thomas Voegtlin <thomasv1@gmx.de>

Please decide how far you trust this user to correctly verify other users keys
(by looking at passports, checking fingerprints from different sources, etc.)

  1 = I dont know or wont say
  2 = I do NOT trust
  3 = I trust marginally
  4 = I trust fully
  5 = I trust ultimately
  m = back to the main menu

Your decision? 4
# 4を選択しました

pub  rsa4096/2BD5824B7F9470E6
     created: 2011-06-15  expires: never       usage: SC  
     trust: full          validity: unknown
sub  rsa4096/1A25C4602021CD84
     created: 2011-06-15  expires: never       usage: E   
[ unknown] (1)* Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>
[ unknown] (2)* ThomasV <thomasv1@gmx.de>
[ unknown] (3)* Thomas Voegtlin <thomasv1@gmx.de>

gpg> save
# saveしました
Key not changed so no update needed.

ここまででGPG署名の検証は完了したものとみなしても良いのですが、3名（ThomasV, SomberNight, Emzy）の署名全てを入手して同じようにコマンドを打てば残り2名のキーを信頼できるものとして頭億するとWarningが消えます。

その後このコマンドを打てばWarningが出ない状態で完全なアウトプットが出ます。
gpg --verify Electrum-4.5.4.tar.gz.asc Electrum-4.5.4.tar.gz

ただ、そこまでやる必要はないのでこれで完了です。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up