     [file defs.ru.inc not included]

Вызов DIRMNGR
*************

dirmngr.ru.8

ВЫЗОВ

ОПИСАНИЕ
Начиная с версии 2.1 GnuPG, dirmngr занимается доступом к серверам OpenPGP. Как и в прошлых версиях, программа используется также для ведения и списков отозванных сертификатов для сертификатов X.509, для получения сертификатов X.509, а также обеспечивает доступ к службам OCSP. Программа dirmngr вызывается внутри gpg, gpgsm и gpg-connect-agent.

Указатель параметров содержит список команд и параметров DIRMNGR.

Команды
=======

КОМАНДЫ

Команды отличаются от параметров только тем, что в вызове допустима только одна команда (если в описании команды не указано иное).

--version
     Вывести версию программы и лицензионные сведения. Эту команду нельзя сокращать (напр., как --versio).

--help, -h
     Вывести подсказку по наиболее полезным параметрам командной строки. Эту команду нельзя сокращать (напр., как --hel).

--dump-options
     Вывести список всех имеющихся параметров и команд. Эту команду нельзя сокращать (напр., как --dump-option).

--server
     Работать в серверном режиме и ожидать команд из стандартного потока ввода. В исходном режиме создается сокет, из которого принимаются команды. Это применяется только для испытаний.

--daemon
     Работать в фоновом режиме, принимая команды из сокета. Именно так dirmngr запускается по требованию от других компонентов GnuPG. Чтобы принудительно запустить dirmngr, в общем случае лучше всего выполнить gpgconf --launch dirmngr.

--supervised
     Работать на переднем плане, отправляя протокол работы по умолчанию в стандартный поток ошибок и прослушивая файловый дескриптор 3, который должен уже быть привязан к действующему сокету. Эта команда полезна при работе из systemd и тому подобных механизмов контроля процессов. Этот параметр не поддерживается под Windows.

--list-crls
     Перечислить содержимое буфера списка отозванных сертификатов в стандартном потоке вывода. Вероятно, это полезно только для отладки.

--load-crl ФАЙЛ
     Команда требует имени файла в качестве аргумента; dirmngr попытается импортировать список отозванных сертификатов из указанного файла в свой буфер. Обратите внимание, что это возможно, только если dirmngr может извлечь сертификат удостоверяющего центра своими собственными средствами. В целом лучше пользоваться командой gpgsm --call-dirmngr loadcrl имя_файла, чтобы поддержать dirmngr средствами gpgsm.

--fetch-crl URL
     Команда требует URL в качестве аргумента; dirmngr попытается извлечь и импортировать список отозванных сертификатов по этому URL в свой буфер. Это полезно главным образом в целях отладки. Программа dirmngr-client выполняет ту же функцию с помощью работающего dirmngr.

--shutdown
     Прервать завершение работающего экземпляра dirmngr. В настоящее время команда не реализована.

--flush
     Команда удаляет все списки отозванных сертификатов из буфера dirmngr. Таким образом, запросы программ-клиентов приведут к чтению списков заново.

ПАРАМЕТРЫ

Сводка параметров
=================

Заметьте, что все длинные параметры за исключением --options и --homedir можно размещать в файле настроек без начальных символов «--».

--options ФАЙЛ
     Читает настройки из заданного файла вместо исходного файла настроек пользователя. Исходный файл настроек под названием dirmngr.conf находится в домашнем каталоге.

--homedir КАТАЛОГ
     Установить заданный домашний каталог. Этот параметр действует только в командной строке. Исходным является каталог .gnupg непосредственно в домашнем каталоге пользователя, если не установлена переменная среды GNUPGHOME; в последнем случае используется значение этой переменной. В этом каталоге хранятся всевозможные данные.

-v

--verbose
     Выводить во время работы дополнительную информацию. Уровень подробности можно повышать, вводя параметр несколько раз, например, -vv.

--log-file ФАЙЛ
     Дописывать протокол работы в указанный файл. Это очень полезно, когда нужно понять, что же программа делает. Укажите socket://, если нужно протоколировать в сокет.

--debug-level УРОВЕНЬ
     Выбрать уровень отладки для исследования проблем. Аргумент может быть числом либо ключевым словом:

     none
          Никаких отладочных сообщений. Соответствует значениям, меньшим 1.

     basic
          Некоторые простые отладочные сообщения. Соответствует значениям от 1 до 2.

     advanced
          Более подробные отладочные сообщения. Соответствует значениям от 3 до 5.

     expert
          Еще более подробные сообщения. Соответствует значениям от 6 до 8.

     guru
          Все отладочные сообщения, какие только есть. Соответствует значениям, большим 8.

     Как сообщения связаны с конкретными признаками отладки, не документируется и может меняться с выходом новых версий программы. Однако их тщательно выбирают, чтобы помочь в отладке.

--debug ПРИЗНАКИ
     Установить флаги отладки. Этот параметр полезен только для отладки, его поведение может изменяться с каждым новым выпуском. Все флаги суммируются по логическому ИЛИ, их можно записывать в синтаксисе Си (напр., 0x0042) или в виде названий флагов, разделенных запятыми. Получить список поддерживаемых флагов можно, задав слово «help».

--debug-all
     То же, что --debug=0xffffffff

--tls-debug УРОВЕНЬ
     Включить отладку TLS на уровне УРОВЕНЬ. Подробности уровня отладки зависят от применяемой библиотеки TLS и не законсервированы.

--debug-wait N
     При работе в серверном режиме подождать указанное число секунд перед входом в цикл обработки и выводить идентификатор процесса. За это время можно подключить отладчик.

--disable-check-own-socket
     На некоторых платформах dirmngr может обнаруживать удаление файла его сокета и самостоятельно завершаться. Этот параметр отключает эту самопроверку в целях отладки.

-s
--sh
-c
--csh
     Форматировать выходную информацию в режиме демона для применения в стандартном интерпретаторе Борна и Си-образном соответственно. По умолчанию выставляется по переменной среды SHELL, в большинстве случаев этого достаточно.

--force
     Если задан этот параметр, принудительно загружаются просроченные списки отозванных сертификатов. Это полезно только для отладки.

--use-tor
--no-use-tor
     Параметр --use-tor переводит Dirmngr и тем самым GnuPG в «режим Tor», в котором вся работа по сети ведется через Tor (анонимизатор). В этом режиме отключаются определенные функции. Результаты параметра --use-tor не могут быть отменены никакой другой командой и даже перезагрузкой gpg-agent. Параметр --no-use-tor отключает работу по Tor. В исходном состоянии Tor используется, если доступен при запуске после перезагрузки Dirmngr.

--standard-resolver
     Этот параметр указывает, что нужно пользоваться стандартными системными программами определения DNS. Он полезен главным образом для отладки. Заметьте, что под Windows стандартные программы определения не применяются вообще, и запрос к DNS возвращает ошибку «Не реализовано», если используется эта функция.

--recursive-resolver
     Когда возможно, пользоваться рекурсивной программой определения, а не заглушкой.

--resolver-timeout N
     Установить предельное время ожидания программы определения DNS равным N секунд. Исходное значение — 30.

--connect-timeout N

--connect-quick-timeout N
     Установить предельное время ожидания для соединений HTTP и общих соединений TCP равным N секунд. Параметр --connect-quick-timeout используется, когда определенные команды Assuan применяются с параметром --quick; оно добавляется к значению обычного времени ожидания. Исходные значения — 15 и 2. Обратите внимание, что времена задаются на каждую попытку; программа подключения пытается соединиться со всеми перечисленными адресами сервера.

--listen-backlog N
     Установить размер очереди соединений. Исходное значение — 64.

--allow-version-check
     Разрешить соединяться с https://versions.gnupg.org, чтобы получить список текущих версий программ. Если задан этот параметр, список извлекается, если нет локальной копии или она старше 5-7 дней. Подробности см. в описании параметра --query-swdb команды gpgconf. Заметьте, что независимо от этого параметра проверку версий можно провести командой:

                 gpg-connect-agent --dirmngr 'loadswdb --force' /bye

--keyserver СЕРВЕР
     Использовать СЕРВЕР в качестве сервера ключей. Это сервер, с которым соединяется gpg, чтобы получать, отправлять, искать ключи. Аргумент СЕРВЕР представляет URI: «схема:[//]имясервера[:порт]». Схема является типом сервера ключей: «hkp» — серверы ключей HTTP (или совместимые), «ldap» — серверы ключей LDAP, «mailto» — почтовый сервер ключей Graff. Обратите внимание, что в вашей конкретной установке GnuPG могут быть и другие типы серверов ключей. Названия схем нечувствительны к регистру символов. После имени сервера могут идти необязательные параметры настройки. Они задаются, как в параметре --keyserver-options gpg, но применяются к этому конкретному серверу.

     Большинство серверов ключей синхронизируются друг с другом, так что обычно нет надобности высылать ключи больше чем на один сервер. Сервер hkp://keys.gnupg.net пользуется циклическим DNS, чтобы выдавать при каждом обращении новый сервер ключей.

     Если в настройках есть ровно два сервера ключей и только один из них является скрытой службой Tor (.onion), dirmngr выбирает сервер ключей в зависимости от того, работает ли Tor на локальной машине. Это проверяется при каждом новом подключении.

     Если сервер ключей не задан в явном виде, dirmngr использует встроенное исходное значение, hkps://hkps.pool.sks-keyservers.net.

--nameserver АДРЕС IP
     В «режиме Tor» dirmngr пользуется публичной службой для определения имен DNS через Tor. Если основная служба, т.е. 8.8.8.8, не должна применяться, этим параметром можно задать другую. Обратите внимание, что должен задаваться числовой адрес IP (IPv6 или IPv4) и что проверка ошибок для него не производится.

--disable-ipv4

--disable-ipv6
     Отключить пользование всеми адресами IPv4 или IPv6.

--disable-ldap
     Полностью отключить пользование LDAP.

--disable-http
     Полностью отключить пользование HTTP.

--ignore-http-dp
     При поиске расположения списка отозванных сертификатов сертификат, который следует проверить, обычно содержит так называемые записи точек распространения списка отозванных сертификатов, представляющие собой URL для доступа к списку. Используется первая найденная точка распространения. Этим параметром все записи со схемой HTTP при поиске подходящей точки распространения пропускаются.

--ignore-ldap-dp
     То же, что --ignore-http-dp, но пропускает записи со схемой LDAP. Эти два параметра можно сочетать друг с другом, что приведет к полному игнорированию точек распространения.

--ignore-ocsp-service-url
     Игнорировать все URL OCSP, содержащиеся в сертификате. В результате принудительно используется основной ответчик.

--honor-http-proxy
     Если установлена переменная среды http_proxy, использовать ее значение для доступа к серверам HTTP.

--http-proxy МАШИНА[:ПОРТ]
     Задать прокси-сервер для доступа по HTTP. Этот параметр отменяет переменную среды http_proxy независимо от того, задан ли параметр --honor-http-proxy.

--ldap-proxy МАШИНА[:ПОРТ]
     Задать прокси-сервер для доступа по LDAP. Если не задан ПОРТ, используется порт 389 (стандартный порт LDAP). Этот параметр отменяет любой указанный порт и машину в URL LDAP, а также используется, если машина и порт в URL не указаны.

--only-ldap-proxy
     Не пользоваться ничем, кроме «прокси-сервера» LDAP, настроенного параметром --ldap-proxy. Обычно dirmngr пытается пользоваться другим настроенным сервером LDAP, если подключиться через «прокси-сервер» не удается.

--ldapserverlist-file ФАЙЛ
     Считывать список серверов LDAP для сверки сертификатов и списков отозванных сертификатов из указанного файла, а не основного списка серверов LDAP пользователя. Основной список пользователя находится в файле dirmngr_ldapservers.conf.

     В этом файле серверы LDAP записаны по одному в строке в формате:

     ИМЯ СЕРВЕРА:ПОРТ:ИМЯ ПОЛЬЗОВАТЕЛЯ:ПАРОЛЬ:БАЗА ПОИСКА

     Строки, начинающиеся с «#», представляют комментарий.

     Обратите внимание, что все вводимые строки, как обычно, ожидаются в кодировке UTF-8. Очевидно, это приведет к проблемам, если пароль первоначально был в кодировке Latin-1. Тут есть только одно решение — поместить такой пароль в двоичном виде в файл (т.е. символы за пределами ASCII не будут читаться) (Для оболочек могло бы быть полезно средство gpgconf, поскольку оно позволяет редактировать этот файл настроек с помощью строк, экранированных процентом.).

--ldaptimeout СЕКУНДЫ
     Указать число секунд, в течение которых нужно ждать ответа на запрос LDAP. Исходное значение равно 15. Значение 0 эквивалентно бесконечности.

--add-servers
     Добавлять все серверы, которые dirmngr обнаруживает при проверке сертификатов по спискам отозванных сертификатов, во внутренний список серверов для запросов сертификатов и списков отозванных сертификатов.

     Этот параметр полезен, когда пытаются проверить сертификат с точкой распространения списка отозванных сертификатов, указывающей на сервер, который еще не перечислен в ldapserverlist. Программа dirmngr всегда будет обращаться к этому серверу и пытаться получить список отозванных сертификатов, но весьма вероятно, что сертификат, которым подписан список отозванных сертификатов, находится на том же сервере. Так что если dirmngr не добавит этот новый сервер в список, то без параметра --add-servers проверить подпись на списке отозванных сертификатов часто будет невозможно.

     Обратите внимание: в текущей версии dirmngr этот параметр в исходном состоянии выключен.

--allow-ocsp
     Этот параметр включает поддержку OCSP по требованию программы-клиента.

     В исходном состоянии запросы OCSP отклоняются, потому что они могут нарушить приватность пользователя; например, можно отследить время, в которое пользователь читает сообщение почты.

--ocsp-responder URL
     Использовать заданный URL как основной ответчик OCSP, если сертификат не содержит сведений о назначенном ответчике. Обратите внимание, что --ocsp-signer тоже должен указывать на достоверный сертификат.

--ocsp-signer ОТП|ФАЙЛ
     Пользоваться сертификатом с указанным отпечатком для проверки ответов основного ответчика OCSP. Вместо отпечатка можно также задать имя файла, в этом случае ожидается, что ответ будет подписан одним из указанных в этом файле сертификатов. Действуют обычные для имен файлов подстановки: тильда в начале с последующей косой чертой заменяются на содержимое переменной HOME, если в начале нет косой черты, имя представляет относительный путь до файла из домашнего каталога. Чтобы гарантировать, что поиск файла будет производиться в домашнем каталоге, либо начинайте имя с «./», либо пользуйтесь именем, которое содержит точку.

     Если ответ подписан сертификатом, заданным этими отпечатками, дальнейшая проверка достоверности этого сертификата не проводится.

     Содержимое файла представляет список отпечатков SHA-1 по одному на строке, с необязательными двоеточиями между байтами. Пустые строки, а также строки, начинающиеся со знака «#», игнорируются.

--ocsp-max-clock-skew N
     Количество секунд, на которое могут быть сдвинуты часы ответчика OCSP относительно локальных часов. Исходное значение равно 600 (10 минут).

--ocsp-max-period N
     Максимальное количество секунд, в течение которых ответ считается действительным после времени, заданного в поле thisUpdate. Исходное значение равно 7776000 (90 дней).

--ocsp-current-period N
     Количество секунд, в течение которых ответ считается действительным после времени, заданного в NEXT_UPDATE. Исходное значение равно 10800 (3 часа).

--max-replies N
     Не возвращать по одному запросу более N записей. Исходное значение равно 10.

--ignore-cert-extension OID
     Добавить OID к списку игнорируемых расширений сертификатов. Аргумент должен представлять десятичные числа, разделенные точками, например, 2.5.29.3. Этот параметр можно задавать несколько раз. Расширения сертификата, совпадающие с перечисленными OID и помеченные как критичные, будут считаться обработанными, так что сертификат не будет отбракован из-за неизвестного критичного расширения. Пользуйтесь этим параметром с осторожностью, потому что расширения обычно не помечаются как критичные без причины.

--hkp-cacert ФАЙЛ
     Пользоваться корневыми сертификатами из указанного файла для проверки сертификатов TLS, используемых с hkps (доступом к серверу ключей по TLS). Для файлов в формате PEM ожидается суффикс .pem. Этот параметр можно задавать несколько раз для добавления дополнительных корневых сертификатов. Поддерживается подстановка тильды.

     Если директива hkp-cacert отсутствует, dirmngr выбирает по своему усмотрению: когда данный сервер ключей представляет собой специальное объединение hkps.pool.sks-keyservers.net, используется групповой корневой сертификат этого объединения. В противном случае используются системные удостоверяющие центры.

ФАЙЛЫ

Настройки
=========

При работе в фоновом режиме dirmngr использует несколько каталогов: там находится несколько файлов настроек, управляющих работой dirmngr. По умолчанию они располагаются в текущем домашнем каталоге (see параметр --homedir).

dirmngr.conf
     Это обычный файл настроек, который dirmngr читает при запуске. В нем могут быть только допустимые длинные параметры; символов «--» перед названием параметра быть не должно, сокращения не допускаются. Этот файл считывается также после SIGHUP, однако действуют не все параметры. Это исходное имя файла можно изменить в командной строке (see параметр --options). Для этого файла следует проводить резервное копирование.

/etc/gnupg/trusted-certs
     Этот каталог должен быть заполнен сертификатами корневых удостоверяющих центров, которым вы доверяете проверку списков отозванных сертификатов и подпись ответов по OCSP.

     Обычно это те же сертификаты, которыми вы пользуетесь с приложениями, обращающимися к dirmngr. Ожидается, что каждый из этих файлов содержит ровно один сертификат в кодировке DER; имя файла должно заканчиваться на .crt или .der. Программа dirmngr считывает эти сертификаты при запуске и при получении сигнала SIGHUP. Сертификаты, которые не удалось прочесть или которые не представляют правильного сертификата X.509, игнорируются; подробности см. в файле протокола работы.

     Приложения, пользующиеся dirmngr (напр., gpgsm), могут запрашивать эти сертификаты, чтобы составить цепь доверия так же, как это делается с каталогом extra-certs (см. ниже).

     Обратите внимание, что сертификаты для ответов OCSP, указанные с помощью параметра --ocsp-signer, всегда считаются пригодными для подписи запросов OCSP.

/etc/gnupg/extra-certs
     Этот каталог может содержать дополнительные сертификаты, которые загружаются во внутренний буфер при запуске программы. Приложения, пользующиеся dirmngr (напр., gpgsm), могут запрашивать эти сертификаты, чтобы составить цепь доверия. Это удобно в случаях, когда у вас есть пара промежуточных сертификатов удостоверяющих центров или сертификатов, обычно применяемых для подписи ответов OCSP. Эти сертификаты программа пытается использовать перед тем, как выходить в сеть за сертификатами. Эти сертификаты должны быть в кодировке DER; имя файла должно заканчиваться на .crt или .der.

~/.gnupg/crls.d
     В этом каталоге хранятся запомненные списки отозванных сертификатов. Каталог crls.d создается программой dirmngr, если не существует, но вам нужно позаботиться, чтобы существовал каталог, в котором он находится.

Чтобы была возможность увидеть, что происходит, нужно создать файл настроек ~/gnupg/dirmngr.conf по крайней мере с одной строкой:

     log-file ~/dirmngr.log

Чтобы можно было выполнять запросы по OCSP, вам, вероятно, понадобится добавить строку:

     allow-ocsp

Чтобы гарантировать, что новые параметры считаны и что после установки новых версий GnuPG работает только что установленный dirmngr, может потребоваться прекратить выполнение работающего dirmngr:

     gpgconf --kill dirmngr

Чтобы понять, правильно ли загрузились все желаемые корневые сертификаты, можно заглянуть в файл протокола работы.

СИГНАЛЫ

Пользование некоторыми сигналами
================================

Работающим экземпляром dirmngr можно управлять посредством сигналов, посылая их с помощью команды kill.

Вот список поддерживаемых сигналов:

SIGHUP
     По этому сигналу во внутреннем буфере сбрасываются все списки отозванных сертификатов, а также все сертификаты. Затем буфер переинициализируется, как при запуске программы. Параметры заново считываются из файла настроек. Вместо этого сигнала лучше пользоваться командной строкой

          gpgconf --reload dirmngr

SIGTERM
     Завершает выполнение процесса, но ждет, пока все текущие запросы будут выполнены. Если процесс получил такой сигнал трижды, а запросы все еще не выполнены, то процесс завершается принудительно. Можно также использовать

          gpgconf --kill dirmngr

     вместо этого сигнала.

SIGINT
     Завершает выполнение процесса немедленно.

SIGUSR1
     Вывести некоторую статистику буферизации в файл протокола.

ПРИМЕРЫ

Примеры
=======

В этом примере показано, как вывести внутреннюю таблицу адресов серверов ключей dirmngr. Данные на выходе предназначены для отладки и не входят в документированный порядок обмена.

       gpg-connect-agent --dirmngr 'keyserver --hosttable' /bye

Для запрета пользования конкретной машиной, которую вы заметили в одном из наборов серверов ключей, можно подать команду

      gpg-connect-agent --dirmngr 'keyserver --dead pgpkeys.bnd.de' /bye

Описание команды keyserver можно получить с помощью

      gpg-connect-agent --dirmngr 'help keyserver' /bye

Протокол Assuan dirmngr
=======================

Assuan — протокол обмена между процессами, применяемый для доступа к dirmngr. Здесь описаны команды, реализуемые в dirmngr.

Показать найденные сертификаты
------------------------------

Поиск сертификата. Для указания нескольких образцов (при поиске выдаются ключи, соответствующие хотя бы одному из них) их нужно экранировать: пробелы нужно заменять на «+» или «%20»; это, в свою очередь, требует применения обычных правил для экранирующих символов.

       S: D <сертификат в кодировке DER>
       S: END
       S: D <второй сертификат в кодировке DER>
       S: END
       S: OK

В этом примере возвращаются два сертификата. Сервер может вернуть любое количество сертификатов; «OK» будет возвращаться и в случае, когда ни один сертификат не найден. Чтобы показать, что данные на выходе были ограничены в соответствии с настройками или возможностями сервера первыми N записями, dirmngr может вернуть строку состояния

       S: S TRUNCATED <n>

Параметр --url можно задать, если вместо шаблона для поиска известен полный URL сертификата:

       C: LOOKUP --url CN%3DWerner%20Koch,o%3DIntevation%20GmbH,c%3DDE?userCertificate

Если задан параметр --cache-only, никакой внешний поиск не производится, так что возвращаются только сертификаты, найденные в буфере.

Если задан параметр --single, возвращается первая и только первая найденная запись. В этом случае локальный поиск не проводится, если только не задан параметр --cache-only.

Проверка сертификата по спискам отозванных сертификатов или OCSP
----------------------------------------------------------------

       ISVALID [--only-ocsp] [--force-default-responder] ИД.СЕРТ.|ОТП.СЕРТ.

Проверить, отозван ли сертификат, описанный с помощью данного идентификатора. Благодаря буферизации в большинстве случаев dirmngr может ответить немедленно.

Идентификатор сертификата представляет шестнадцатеричную строку из двух частей, разделенных одной точкой. Первая часть представляет SHA-1 имени издателя, а вторая часть — серийный номер.

Вместо идентификатора можно задать отпечаток SHA-1; в этом случае запрос OCSP выполняется до сверки по спискам отозванных сертификатов. Если задан параметр --only-ocsp, проверка по спискам отозванных сертификатов в качестве запасного варианта при сбое проверки по OCSP проводиться не будет. Если задан параметр --force-default-responder, будет использоваться только основной ответчик OCSP и никакие другие методы получения URL ответчика OCSP применяться не будут.

Обычные коды выхода:

GPG_ERR_NO_ERROR (0)
     Это положительный ответ: сертификат не отозван, и у нас есть свежий список отозванных сертификатов для этого сертификата. Если применялся OCSP, ответчик подтвердил, что сертификат не отозван.

GPG_ERR_CERT_REVOKED
     Это отрицательный ответ: сертификат был отозван. Он либо находится в свежем списке отозванных сертификатов, либо ответчик OCSP проинформировал нас о том, что сертификат отозван.

GPG_ERR_NO_CRL_KNOWN
     Список отозванных сертификатов для этого сертификата неизвестен, непригоден или устарел.

GPG_ERR_NO_DATA
     Ответчик OCSP вернул значение «неизвестно». Это значит, что у него нет сведений о состоянии сертификата.

GPG_ERR_NOT_SUPPORTED
     Обычно это значит, что поддержка OCSP не включена в настройках.

Если у dirmngr недостаточно сведений по данному сертификату (например, если сертификата пока нет в буфере), он запрашивает недостающие данные:

       S: INQUIRE SENDCERT <идентификатор сертификата>
       C: D <сертификат в кодировке DER>
       C: END

Программа-клиент должна быть готова к тому, что dirmngr может запросить более одного сертификата.

Если у dirmngr есть сертификат, но его подпись не удалось проверить из-за того, что корневой сертификат передан в dirmngr в качестве доверенного, он может запросить программу-клиент, следует ли доверять этому корневому сертификату:

       S: INQUIRE ISTRUSTED <шестнадцатеричный отпечаток>
       C: D 1
       C: END

Только при этом ответе dirmngr будет считать сертификат доверенным.

Проверка сертификата по спискам отозванных сертификатов
-------------------------------------------------------

Проверить, достоверен ли сертификат с заданным отпечатком (SHA-1 всего содержимого сертификата X.509), сверяясь по списку отозванных сертификатов, отвечающему за данный сертификат. Если отпечаток не задан или сертификат неизвестен, функция запрашивает сертификат таким образом:

       S: INQUIRE TARGETCERT
       C: D <сертификат в кодировке DER>
       C: END

Таким образом, вызывающая программа должна по запросу вернуть сертификат (который должен соответствовать отпечатку) в виде двоичной последовательности. Затем обработка происходит без дальнейшего взаимодействия; в частности, dirmngr пытается найти другие требуемые сертификаты с помощью своего собственного механизма, в котором задействуется локальная память сертификатов, а также список доверенных корневых сертификатов.

При успехе (сертификат не отозван) возвращается код 0, в противном случае возвращается один из обычных кодов ошибки из libgpg-error.

Проверка сертификата по OCSP
----------------------------

       CHECKOCSP [--force-default-responder] [ОТПЕЧАТОК]

Проверить, достоверен ли сертификат с заданным отпечатком (SHA-1 всего содержимого сертификата X.509), запрашивая соответствующий ответчик OCSP. Если отпечаток не задан или сертификат неизвестен dirmngr, функция запрашивает сертификат таким образом:

       S: INQUIRE TARGETCERT
       C: D <сертификат в кодировке DER>
       C: END

Таким образом, вызывающая программа должна по запросу вернуть сертификат (который должен соответствовать отпечатку) в виде двоичной последовательности. Затем обработка происходит без дальнейшего взаимодействия; в частности, dirmngr пытается найти другие требуемые сертификаты с помощью своего собственного механизма, в котором задействуется локальная память сертификатов, а также список доверенных корневых сертификатов.

Если задан параметр --force-default-responder, применяется только основной ответчик OCSP. Этот параметр представляет разновидность глобального параметра --ignore-ocsp-service-url, которую можно менять от команды к команде.

При успехе (сертификат не отозван) возвращается код 0, в противном случае возвращается один из обычных кодов ошибки из libgpg-error.

Занесение сертификата во внутренний буфер
-----------------------------------------

Занести сертификат во внутренний буфер. Эта команда может быть полезна, только если программа-клиент заранее знает, какие сертификаты требуются для проверки, и хочет гарантировать, что они добавлены во внутренний буфер. Команда полезна также для отладки. Чтобы получить настоящий сертификат, эта команда немедленно делает запрос

       S: INQUIRE TARGETCERT
       C: D <сертификат в кодировке DER>
       C: END

Таким образом, вызывающая программа должна по запросу вернуть сертификат в виде двоичной последовательности.

При успехе возвращается код 0; если сертификат не был успешно занесен в буфер, возвращается один из обычных кодов ошибки из libgpg-error.

Проверка сертификата для отладки
--------------------------------

Проверить сертификат с помощью функции проверки, которая применяется внутри dirmngr. Эта команда полезна только для отладки. Чтобы получить настоящий сертификат, эта команда немедленно делает запрос

       S: INQUIRE TARGETCERT
       C: D <сертификат в кодировке DER>
       C: END

Таким образом, вызывающая программа должна по запросу вернуть сертификат в виде двоичной последовательности.

СМ. ТАКЖЕ
     [file see-also-note.ru.texi not included]