Hva er SIG-filformatet?
En .sig-fil er en frittstående kryptografisk signatur produsert av OpenPGP-kompatible verktøy som GnuPG (gpg). I motsetning til en signatur som er innebygd i et signert dokument, ligger en frittstående .sig i en separat fil ved siden av originalen - for eksempel installer.exe sammen med installer.exe.sig. Dette gjør det mulig å verifisere integriteten og autentisiteten til originalfilen uten å endre den på noen måte.
Signaturen lagres i en av to former:
- ASCII-armert tekst - en menneskelig lesbar blokk som begynner med
-----BEGIN PGP SIGNATURE-----og slutter med-----END PGP SIGNATURE-----, egnet for å lime inn i e-post eller ren tekst-kanaler. - Binær OpenPGP-pakke - en kompakt binær form der den første byten er en signaturpakketagg (høy bit er alltid satt; vanlige verdier er
0x88,0x89eller0xC2).
For å verifisere en .sig-fil mot dens tilhørende dokument, kjør gpg --verify fil.sig fil. GnuPG sjekker dataene mot signatørens offentlige nøkkel og rapporterer om signaturen er gyldig og hvilken nøkkel som produserte den.
Frittstående .sig-filer er mye brukt ved distribusjon av programvareutgivelser, OS-avbildninger og pakkearkiver, noe som gir sluttbrukere en pålitelig måte å bekrefte at en nedlasting ikke har blitt tuklet med. Formatet styres av OpenPGP-standarden, definert i RFC 4880 (2007) og oppdatert av RFC 9580 (2024). Relaterte utvidelser inkluderer .asc (ASCII-armert OpenPGP-utdata), .gpg (binære GnuPG-data) og .pgp (PGP-kryptert eller signert data).
Sikkerhet og trygghet
RISIKO: LOWEn frittstående PGP .sig er i seg selv ufarlig - den inneholder ingen kjørbar kode. Sikkerhetsverdien fungerer motsatt vei: en .sig er et verktøy som BESKYTTER deg ved å la deg bekrefte at en nedlasting ikke er tuklet med. To reelle fallgruver: (1) verifiseringen er bare så pålitelig som den offentlige nøkkelen - last ned utgiverens nøkkel fra en uavhengig, offisiell kanal og bekreft fingeravtrykket, ellers kan en angriper som har byttet ut både filen og nøkkelen fortsatt vise «Good signature»; (2) «Good signature» beviser integritet og opphav, ikke at programvaren er trygg - en ondsinnet utgiver kan signere skadevare.
Formatdetaljer
i et nøtteskall- E-post signaturblokk - E-postklienter lagrer den faste teksten som legges til utgående meldinger (navn, tittel, kontaktinformasjon) som en ren tekst .sig - den klassiske Unix «.signature»; bare tekst i et redigeringsprogram.
- Broderbund Print Shop-dokument - Eldre Broderbund-titler (The Print Shop og relaterte) brukte .sig for skilt- og bannerprosjektfiler, som kun kan åpnes i den tilhørende Broderbund-programvaren.
Programmer som åpner SIG-filer
Windows1 app
Gpg4win (Kleopatra + GpgEX)
Åpen kildekode Installer Gpg4win, importer utgiverens offentlige nøkkel, høyreklikk deretter på .sig → Flere GpgEX-alternativer → Verifiser (eller kjør «gpg --verify fil.sig fil»). «Good signature» = nedlastingen er autentisk. 
macOS2 apps
GnuPG (gpg)
Åpen kildekode Installer via GPG Suite eller Homebrew («brew install gnupg»), importer den offentlige nøkkelen, og bruk deretter «gpg --verify fil.sig fil» i terminalen for å verifisere en nedlasting.
GPG Suite
Gratis Mac-grensesnitt for GnuPG (GPG Keychain + Services); importer nøkkelen og verifiser .sig-filen fra Finder eller terminalen. 
Linux2 apps
GnuPG (gpg)
Åpen kildekode Installer via GPG Suite eller Homebrew («brew install gnupg»), importer den offentlige nøkkelen, og bruk deretter «gpg --verify fil.sig fil» i terminalen for å verifisere en nedlasting.
Kleopatra
Åpen kildekode Grafisk nøkkelbehandler (KDE); importer nøkler og verifiser signaturer uten kommandolinjen. Tekniske detaljer
dyp spesifikasjon| MIME-type | application/pgp-signature |
| Lagringsformer | ASCII-armert tekst eller binær OpenPGP-pakke |
| ASCII-armert hode | -----BEGIN PGP SIGNATURE----- |
| Binære magiske bytes | Signaturpakketagg-byte ved offset 0 (vanligvis 0x88, 0x89 eller 0xC2; høy bit alltid satt) |
| Bruksmønster | Frittstående - .sig-filen lagres separat fra filen den signerer |
| Konvensjon for filparing | Tilleggsfilen deler samme basenavn (f.eks. arkiv.tar.gz + arkiv.tar.gz.sig) |
| Verifiseringskommando | gpg --verify fil.sig fil |
| Støttede hash-algoritmer | SHA-256, SHA-384, SHA-512, SHA-224; SHA-1 støttes for bakoverkompatibilitet |
| Støttede offentlig nøkkel-algoritmer | RSA, DSA, ECDSA, EdDSA (Ed25519, Ed448) |
| ASCII-armert koding | Base64 med 76-tegns linjebryting pluss en CRC-24 sjekksum-linje til slutt |
| Typisk filstørrelse (ASCII-form) | 300-600 bytes for en signatur med én nøkkel |
| Styrer kun én fil | Hver .sig dekker nøyaktig én målfil; distribusjon av flere filer krever én .sig per fil |
| Tillitsmodell | Web of Trust (WoT) eller OpenPGP CA; gyldighet avhenger av om signatørens nøkkel er lokalt betrodd |
| Gjeldende standard | OpenPGP - RFC 2440 (1998), RFC 4880 (2007), RFC 9580 (2024) |
| Utgitt | OpenPGP signatures: PGP 1991, standardized as RFC 2440 (1998) / RFC 4880 (2007) / RFC 9580 (2024) |
| Åpen standard | Ja · royalty-fri |
| Spesifikasjon | www.rfc-editor.org |
SIG-konverteringer
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om SIG-filer.
