Vad är filformatet SIG?
En .sig-fil är en fristående kryptografisk signatur skapad av OpenPGP-kompatibla verktyg som GnuPG (gpg). Till skillnad från en signatur som är inbäddad i ett signerat dokument, ligger en fristående .sig i en separat fil bredvid originalet - till exempel installer.exe tillsammans med installer.exe.sig. Detta gör att originalfilens integritet och autenticitet kan verifieras utan att den modifieras på något sätt.
Signaturen lagras i en av två former:
- ASCII-armored text - ett läsbart block som börjar med
-----BEGIN PGP SIGNATURE-----och slutar med-----END PGP SIGNATURE-----, lämpligt för att klistras in i e-post eller vanliga textkanaler. - Binärt OpenPGP-paket - en kompakt binär form vars första byte är en tagg för signaturpaket (hög bit är alltid satt; vanliga värden är
0x88,0x89eller0xC2).
För att verifiera en .sig-fil mot dess tillhörande dokument, kör gpg --verify file.sig file. GnuPG kontrollerar datan mot undertecknarens publika nyckel och rapporterar om signaturen är giltig och vilken nyckel som skapade den.
Fristående .sig-filer används i stor utsträckning vid distribution av programvarureleaser, OS-avbildningar och paketarkiv, vilket ger slutanvändare ett tillförlitligt sätt att bekräfta att en nedladdning inte har manipulerats. Formatet styrs av OpenPGP-standarden, definierad i RFC 4880 (2007) och uppdaterad av RFC 9580 (2024). Relaterade filändelser inkluderar .asc (ASCII-armored OpenPGP-utdata), .gpg (binär GnuPG-data) och .pgp (PGP-krypterad eller signerad data).
Säkerhet & trygghet
RISK: LOWEn fristående PGP .sig är i sig ofarlig - den innehåller ingen körbar kod. Säkerhetsvärdet fungerar åt andra hållet: en .sig är ett verktyg som SKYDDAR dig genom att låta dig bekräfta att en nedladdning inte har manipulerats. Två verkliga fallgropar: (1) verifieringen är bara så pålitlig som den publika nyckeln - ladda ner utgivarens nyckel från en oberoende, officiell kanal och bekräfta dess fingeravtryck, annars kan en angripare som bytt ut både filen och nyckeln fortfarande visa «Good signature»; (2) «Good signature» bevisar integritet och upphovsmannaskap, inte att programvaran är säker - en illvillig utgivare kan signera skadlig kod.
Formatdetaljer
i ett nötskal- E-postsignaturblock - E-postklienter lagrar den fasta texten som läggs till i slutet av utgående meddelanden (namn, titel, kontaktuppgifter) som en vanlig textfil med ändelsen .sig - den klassiska Unix «.signature»; bara text i en redigerare.
- Broderbund Print Shop-dokument - Äldre titlar från Broderbund (The Print Shop med flera) använde .sig för skylt-/bannerprojektfiler, som endast kan öppnas i matchande programvara från Broderbund.
Program som öppnar SIG-filer
Windows1 app
Gpg4win (Kleopatra + GpgEX)
Öppen källkod Installera Gpg4win, importera utgivarens publika nyckel, högerklicka sedan på .sig-filen → More GpgEX options → Verify (eller kör «gpg --verify file.sig file»). «Good signature» = nedladdningen är autentisk. 
macOS2 apps
GnuPG (gpg)
Öppen källkod Installera via GPG Suite eller Homebrew («brew install gnupg»), importera den publika nyckeln, kör sedan «gpg --verify file.sig file» i terminalen för att verifiera en nedladdning.
GPG Suite
Gratis Mac-gränssnitt för GnuPG (GPG Keychain + Services); importera nyckeln och verifiera .sig-filen från Finder eller terminalen. 
Linux2 apps
GnuPG (gpg)
Öppen källkod Installera via GPG Suite eller Homebrew («brew install gnupg»), importera den publika nyckeln, kör sedan «gpg --verify file.sig file» i terminalen för att verifiera en nedladdning.
Kleopatra
Öppen källkod Grafisk nyckelhanterare (KDE); importera nycklar och verifiera signaturer utan kommandoraden. Tekniska detaljer
djup specifikation| MIME-typ | application/pgp-signature |
| Lagringsformer | ASCII-armored text eller binärt OpenPGP-paket |
| ASCII-armored header | -----BEGIN PGP SIGNATURE----- |
| Binära magic bytes | Tagg-byte för signaturpaket vid offset 0 (vanligtvis 0x88, 0x89 eller 0xC2; hög bit alltid satt) |
| Användningsmönster | Fristående - .sig-filen lagras separat från filen den signerar |
| Konvention för filparning | Följefilen delar samma basnamn (t.ex. archive.tar.gz + archive.tar.gz.sig) |
| Verifieringskommando | gpg --verify file.sig file |
| Hash-algoritmer som stöds | SHA-256, SHA-384, SHA-512, SHA-224; SHA-1 stöds för bakåtkompatibilitet |
| Publika nyckel-algoritmer som stöds | RSA, DSA, ECDSA, EdDSA (Ed25519, Ed448) |
| ASCII-armored kodning | Base64 med 76 teckens radbrytning plus en CRC-24 kontrollsumma på sista raden |
| Typisk filstorlek (ASCII-form) | 300-600 bytes för en signatur med en enda nyckel |
| Styr endast en fil | Varje .sig täcker exakt en målfil; distribution av flera filer kräver en .sig per fil |
| Tillitsmodell | Web of Trust (WoT) eller OpenPGP CA; giltigheten beror på om undertecknarens nyckel är betrodd lokalt |
| Styrande standard | OpenPGP - RFC 2440 (1998), RFC 4880 (2007), RFC 9580 (2024) |
| Släppt | OpenPGP signatures: PGP 1991, standardized as RFC 2440 (1998) / RFC 4880 (2007) / RFC 9580 (2024) |
| Öppen standard | Ja · royaltyfri |
| Specifikation | www.rfc-editor.org |
SIG-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om SIG-filer.
