Hvad er SIG-filformatet?
En .sig-fil er en separeret kryptografisk signatur produceret af OpenPGP-kompatible værktøjer såsom GnuPG (gpg). I modsætning til en signatur, der er indlejret i et signeret dokument, ligger en separeret .sig i en separat fil ved siden af den originale - for eksempel installer.exe parret med installer.exe.sig. Dette gør det muligt at verificere integriteten og autenticiteten af den originale fil uden at ændre den på nogen måde.
Signaturen gemmes i en af to former:
- ASCII-armored tekst - en menneskelæsbar blok, der begynder med
-----BEGIN PGP SIGNATURE-----og slutter med-----END PGP SIGNATURE-----, velegnet til at indsætte i e-mails eller almindelige tekstkanaler. - Binær OpenPGP-pakke - en kompakt binær form, hvis første byte er et signaturpakketag (høj bit altid sat; almindelige værdier er
0x88,0x89eller0xC2).
For at verificere en .sig-fil mod dens ledsagedokument skal du køre gpg --verify fil.sig fil. GnuPG tjekker dataene mod underskriverens offentlige nøgle og rapporterer, om signaturen er gyldig, og hvilken nøgle der har produceret den.
Separerede .sig-filer er vidt brugt ved distribution af softwareudgivelser, OS-aftryk og pakkearkiver, hvilket giver slutbrugere en pålidelig måde at bekræfte, at en download ikke er blevet manipuleret. Formatet er styret af OpenPGP-standarden, defineret i RFC 4880 (2007) og opdateret af RFC 9580 (2024). Relaterede filendelser inkluderer .asc (ASCII-armored OpenPGP-output), .gpg (binære GnuPG-data) og .pgp (PGP-krypterede eller signerede data).
Sikkerhed og tryghed
RISIKO: LOWEn separeret PGP .sig er i sig selv harmløs - den indeholder ingen eksekverbar kode. Sikkerhedsværdien går den anden vej: en .sig er et værktøj, der BESKYTTER dig ved at lade dig bekræfte, at en download ikke er blevet manipuleret. To reelle faldgruber: (1) verifikation er kun så troværdig som den offentlige nøgle - download udgiverens nøgle fra en uafhængig, officiel kanal og bekræft dens fingeraftryk, ellers kunne en angriber, der har udskiftet både filen og nøglen, stadig vise en «Good signature»; (2) «Good signature» beviser integritet og ophav, ikke at softwaren er sikker - en ondsindet udgiver kan godt signere malware.
Formatdetaljer
kort fortalt- E-mail signaturblok - Mailklienter gemmer den faste tekst, der tilføjes udgående beskeder (navn, titel, kontaktinfo), som en almindelig tekst .sig - den klassiske Unix «.signature»; blot tekst i en editor.
- Broderbund Print Shop-dokument - Ældre Broderbund-titler (The Print Shop og relaterede) brugte .sig til skilt/banner-projektfiler, som kun kan åbnes i den tilhørende Broderbund-software.
Programmer der åbner SIG-filer
Windows1 app
Gpg4win (Kleopatra + GpgEX)
Open-source Installer Gpg4win, importer udgiverens offentlige nøgle, højreklik derefter på .sig → Flere GpgEX-indstillinger → Verificer (eller kør «gpg --verify fil.sig fil»). «Good signature» = downloaden er autentisk. 
macOS2 apps
GnuPG (gpg)
Open-source Installer via GPG Suite eller Homebrew («brew install gnupg»), importer den offentlige nøgle, og kør derefter «gpg --verify fil.sig fil» i Terminalen for at verificere en download.
GPG Suite
Gratis Mac-brugerflade til GnuPG (GPG Keychain + Services); importer nøglen og verificer .sig-filen fra Finder eller Terminalen. 
Linux2 apps
GnuPG (gpg)
Open-source Installer via GPG Suite eller Homebrew («brew install gnupg»), importer den offentlige nøgle, og kør derefter «gpg --verify fil.sig fil» i Terminalen for at verificere en download.
Kleopatra
Open-source Grafisk nøglehåndtering (KDE); importer nøgler og verificer signaturer uden kommandolinjen. Tekniske detaljer
dyb specifikation| MIME-type | application/pgp-signature |
| Lagringsformer | ASCII-armored tekst eller binær OpenPGP-pakke |
| ASCII-armored header | -----BEGIN PGP SIGNATURE----- |
| Binære magic bytes | Signaturpakketag-byte ved offset 0 (typisk 0x88, 0x89 eller 0xC2; høj bit altid sat) |
| Anvendelsesmønster | Separeret - .sig-filen gemmes separat fra den fil, den signerer |
| Konvention for filparring | Ledsagefilen deler det samme grundnavn (f.eks. arkiv.tar.gz + arkiv.tar.gz.sig) |
| Verifikationskommando | gpg --verify fil.sig fil |
| Understøttede hash-algoritmer | SHA-256, SHA-384, SHA-512, SHA-224; SHA-1 understøttes for bagudkompatibilitet |
| Understøttede offentlig nøgle-algoritmer | RSA, DSA, ECDSA, EdDSA (Ed25519, Ed448) |
| ASCII-armored kodning | Base64 med 76-tegns linjeskift plus en CRC-24 kontrolsum-afslutningslinje |
| Typisk filstørrelse (ASCII-form) | 300-600 bytes for en signatur med en enkelt nøgle |
| Styrer kun én fil | Hver .sig dækker præcis én målfil; distribution af flere filer kræver én .sig per fil |
| Tillidsmodel | Web of Trust (WoT) eller OpenPGP CA; gyldighed afhænger af, om underskriverens nøgle er lokalt betroet |
| Gældende standard | OpenPGP - RFC 2440 (1998), RFC 4880 (2007), RFC 9580 (2024) |
| Udgivet | OpenPGP signatures: PGP 1991, standardized as RFC 2440 (1998) / RFC 4880 (2007) / RFC 9580 (2024) |
| Åben standard | Ja · royaltyfri |
| Specifikation | www.rfc-editor.org |
SIG-konverteringer
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om SIG-filer.
