signing.asc

[[_signing]]
=== Потписивање вашег рада

Програм Гит је криптографски обезбеђен, али не штити од људских грешака.
Ако преузимате рад других људи са интернета и желите да проверите да ли комитови заиста долазе од поузданог извора, програм Гит има неколико начина да потпише и провери рад помоћу програма GPG.

==== Увод у GPG

Најпре, да бисте било шта потписали, морате да конфигуришете програм GPG и да инсталирате свој лични кључ.

[source,console]
----
$ gpg --list-keys
/Users/schacon/.gnupg/pubring.gpg
---------------------------------
pub   2048R/0A46826A 2014-06-04
uid                  Scott Chacon (Git signing key) <schacon@gmail.com>
sub   2048R/874529A9 2014-06-04
----

Ако немате инсталиран кључ, можете да га генеришете са `gpg --gen-key`.

[source,console]
----
gpg --gen-key
----

Једном када имате приватни кључ којим потписујете, можете конфигурисати програм Гит да га користи за потписивање ствари подешавањем `user.signingkey` конфигурационе поставке.

[source,console]
----
git config --global user.signingkey 0A46826A
----

Сада ће програм Гит подразумевано да користи ваш кључ да потпише ознаке и комитове ако то желите.

==== Потписивање ознака

Ако имате поставку GPG приватног кључа, сада можете да је користите за потписивање нових ознака.
Све што треба да урадите је да уместо `-a` употребите `-s`:

[source,console]
----
$ git tag -s v1.5 -m 'my signed 1.5 tag'

You need a passphrase to unlock the secret key for
user: "Ben Straub <ben@straub.cc>"
2048-bit RSA key, ID 800430EB, created 2014-05-04
----

Ако над том ознаком извршите `git show`, видећете да је уз њу прикачен ваш GPG потпис:

[source,console]
----
$ git show v1.5
tag v1.5
Tagger: Ben Straub <ben@straub.cc>
Date:   Sat May 3 20:29:41 2014 -0700

my signed 1.5 tag
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1

iQEcBAABAgAGBQJTZbQlAAoJEF0+sviABDDrZbQH/09PfE51KPVPlanr6q1v4/Ut
LQxfojUWiLQdg2ESJItkcuweYg+kc3HCyFejeDIBw9dpXt00rY26p05qrpnG+85b
hM1/PswpPLuBSr+oCIDj5GMC2r2iEKsfv2fJbNW8iWAXVLoWZRF8B0MfqX/YTMbm
ecorc4iXzQu7tupRihslbNkfvfciMnSDeSvzCpWAHl7h8Wj6hhqePmLm9lAYqnKp
8S5B/1SSQuEAjRZgI4IexpZoeKGVDptPHxLLS38fozsyi0QyDyzEgJxcJQVMXxVi
RUysgqjcpT8+iQM1PblGfHR4XAhuOqN5Fx06PSaFZhqvWFezJ28/CLyX5q+oIVk=
=EFTF
-----END PGP SIGNATURE-----

commit ca82a6dff817ec66f44342007202690a93763949
Author: Scott Chacon <schacon@gee-mail.com>
Date:   Mon Mar 17 21:52:11 2008 -0700

    Change version number
----

==== Провера ознака

Да бисте проверили потписану ознаку, користите `git tag -v <име-ознаке>`.
Ова команда користи програм GPG да провери потпис.
Да би ово радило како треба, потребно је да у свом привеску кључева имате јавни кључ потписника:

[source,console]
----
$ git tag -v v1.4.2.1
object 883653babd8ee7ea23e6a5c392bb739348b1eb61
type commit
tag v1.4.2.1
tagger Junio C Hamano <junkio@cox.net> 1158138501 -0700

GIT 1.4.2.1

Minor fixes since 1.4.2, including git-mv and git-http with alternates.
gpg: Signature made Wed Sep 13 02:08:25 2006 PDT using DSA key ID F3119B9A
gpg: Good signature from "Junio C Hamano <junkio@cox.net>"
gpg:                 aka "[jpeg image of size 1513]"
Primary key fingerprint: 3565 2A26 2040 E066 C9A7  4A7D C0C6 D9A4 F311 9B9A
----

У случају да немате јавни кључ потписника, добијате нешто овако:

[source,console]
----
gpg: Signature made Wed Sep 13 02:08:25 2006 PDT using DSA key ID F3119B9A
gpg: Can't check signature: public key not found
error: could not verify the tag 'v1.4.2.1'
----

[[_signing_commits]]
==== Потписивање комитова

У новијим верзијама програма Гит (v1.7.9 и новијим), имате могућност да потписујете и појединачне комитове.
Ако вас интересује директно потписивање комитова, а не само ознака, све што треба да урадите је да додате `-S` својој `git commit` команди.

[source,console]
----
$ git commit -a -S -m 'Signed commit'

You need a passphrase to unlock the secret key for
user: "Scott Chacon (Git signing key) <schacon@gmail.com>"
2048-bit RSA key, ID 0A46826A, created 2014-06-04

[master 5c3386c] Signed commit
 4 files changed, 4 insertions(+), 24 deletions(-)
 rewrite Rakefile (100%)
 create mode 100644 lib/git.rb
----

Да бисте видели и проверили ове потписе, постоји опција `--show-signature` команде `git log`.

[source,console]
----
$ git log --show-signature -1
commit 5c3386cf54bba0a33a32da706aa52bc0155503c2
gpg: Signature made Wed Jun  4 19:49:17 2014 PDT using RSA key ID 0A46826A
gpg: Good signature from "Scott Chacon (Git signing key) <schacon@gmail.com>"
Author: Scott Chacon <schacon@gmail.com>
Date:   Wed Jun 4 19:49:17 2014 -0700

    Signed commit
----

Уз то, команду `git log` можете подесити тако да проверава све потписе које пронађе и да их приказује у свом излазу у `%G?` формату.

[source,console]
----
$ git log --pretty="format:%h %G? %aN  %s"

5c3386c G Scott Chacon  Signed commit
ca82a6d N Scott Chacon  Change the version number
085bb3b N Scott Chacon  Remove unnecessary test code
a11bef0 N Scott Chacon  Initial commit
----

Овде можемо видети да је само последњи комит потписан и важећи, а да претходни комитови нису.

У програму Гит верзије 1.8.3 и каснијим, опцијом `--verify-signatures` командама `git merge` и `git pull` може да се наложи да приликом спајања испитају и одбију спајање комита који нема у себи GPG потпис којем се верује.

Ако употребите ову опцију када спајате грану која садржи комитове који нису потписани и важећи, спајање не успева.

[source,console]
----
$ git merge --verify-signatures non-verify
fatal: Commit ab06180 does not have a GPG signature.
----

Ако спајање садржи само исправне потписане комитове, команда спајања ће вам приказати све потписе које је проверила, па ће наставити даље са спајањем.

[source,console]
----
$ git merge --verify-signatures signed-branch
Commit 13ad65e has a good GPG signature by Scott Chacon (Git signing key) <schacon@gmail.com>
Updating 5c3386c..13ad65e
Fast-forward
 README | 2 ++
 1 file changed, 2 insertions(+)
----

Опцију `-S` такође можете користити и са командом `git merge` да би се потписао и сам комит спајања.
Следећи пример истовремено проверава да је сваки комит у грани која се спаја потписан и потписује крајњи комит спајања.

[source,console]
----
$ git merge --verify-signatures -S  signed-branch
Commit 13ad65e has a good GPG signature by Scott Chacon (Git signing key) <schacon@gmail.com>

You need a passphrase to unlock the secret key for
user: "Scott Chacon (Git signing key) <schacon@gmail.com>"
2048-bit RSA key, ID 0A46826A, created 2014-06-04

Merge made by the 'recursive' strategy.
 README | 2 ++
 1 file changed, 2 insertions(+)
----

==== Свако мора да потпише

Потписивање ознака и комитова је одлично, али ако одлучите да то користите у вашем уобичајеном процесу рада, мораћете обезбедити да свако у тиму разуме како се то ради.
Ако то не урадите, провешћете пуно времена помажући људима око поновног исписивања својих комитова потписаним верзијама.
Будите сигурни да разумете GPG и предности потписивања ствари пре него што то усвојите као део свог стандардног процеса рада.