PGP, abbreviazione di Pretty Good Privacy, è un sistema crittografico usato per firmare e cifrare i dati. Nel lavoro di sicurezza, la sua funzione di firma è spesso la più importante: una firma PGP consente a un destinatario di verificare che il contenuto provenga dalla fonte prevista e non sia stato modificato da quando è stato firmato.
Questo è importante nella distribuzione del software, nelle pipeline di aggiornamento e in ambienti offline o disconnessi, dove i team si affidano alle firme per proteggersi dalle manomissioni. I difensori usano PGP per controllare immagini di rilascio, pacchetti e metadati prima di considerarli attendibili. Gli aggressori possono tentare di aggirare questa protezione sostituendo file, influenzando le impostazioni di trust o indebolendo il percorso di verifica in modo che contenuti non firmati o alterati vengano accettati. PGP non garantisce che il software sia sicuro, ma aiuta a preservare l'integrità e la provenienza lungo tutta la catena di distribuzione.