我如何自我签署一个焦油球，以便以后我可以验证它没有故意改变

Question

我知道md5或sha256哈希它不会为我的案例工作 - 请参阅＆＃34;我的需求＆＃34;节

我有一个驻留在服务器上的tar文件，该文件被多个客户端通过互联网使用。我想确保tar文件没有被篡改。客户端使用python编程，我可以控制他们的源代码（这意味着我可以重新编程客户端来验证证书）。

我的需求：

1. 即使有人入侵服务器，他也不应该通过更改服务器中的tar文件来攻击客户端。所以md5，或sha256哈希工作不起作用（攻击者可以在服务器上更改它）

我的问题是？

1. 我听说过openssl制作x.509证书，但我认为openssl不适合这个目的，因为openssl是为了提供互联网安全而不是代码签名。我的假设是否正确？
2. 如果上述假设是正确的，那么我应该使用什么工具或技术来签署焦油球？
3. 在python中有没有内置的支持？ （注意：tar球是＆＃34; python setup.py sdist＆＃34;）的输出。

Answer 1

您可以使用python-gnupgp对tar.gz文件进行签名 - 这会使用gnupgp包，因此您也需要这样做。您可能需要从tar.gz文件中单独发送签名。