[PGP / Crypt::OpenPGP] ontsleuteling zonder passphrase?

[bRight]

Voor een klant ben ik bezig om gespaarde punten met transacties in een webshop te koppelen naar het spaarpuntensysteem van de klant voor verdere verwerking.
Dit gaat op een nogal omslachtige manier:

1. De data versturen wij in een PGP encryted file naar de server van de klant (versleuteld met hun public key)
2. Vervolgens plaatsen zij een PGP encrypted file bij ons op de server met een statusraport (versleuteld met onze public key).

De bedoeling is dat dit statusbestand geautomatiseerd ontsleuteld en verwerkt wordt in onze administratie.

So far so good..

Het rare is dat als ik het bestand handmatig ontsleutel, er niet naar een passphrase wordt gevraagd.
Het bestand wordt zonder tussenkomst ontsleuteld en opgeslagen.
Ik heb nog even gedacht dat mijn passphrase + public key stonden gecached oid, maar dat bleek niet het geval.
Iedereen kan het bestand gewoon ontsleutelen!
Het lijkt er dus op dat het bestand helemaal niet met onze public key is versleuteld, maar met een simpele 2-way encryption ofzo.

Ik heb gezocht in de PGP specificaties, maar kan hier geen informatie over terug vinden.
Voor het geautomatiseerd decrypten op onze server werk ik met Crypt::OpenPGP voor perl, maar helaas gaat deze package op zn bek door de rare versleuteling.

Als ik test met een bestand dat ik zelf heb versleuteld werkt alles prima.

Volgens de ICT afdeling van de klant wordt het bestand in het juiste formaat aangeleverd.
Ze zijn gevestigd in Frankrijk en de organisatie is nogal groot, wat de communicatie er niet makkelijker op maakt. Ik wil voor zover mogelijk dus eerst zelf uitvinden wat er aan de hand is.

Ze gebruiken PGP Command Line v9.0.3 (Solaris)

Mijn vraag is of iemand een idee heeft wat er aan de hand kan zijn, of een tool kent waarmee ik de versleuteling van het bestand kan analiseren?

Eventueel heb ik een testbestand beschikbaar.

Alvast bedankt!

[bRight]

Voor het archief:

Met hulp van de mensen van pgp.com ben ik erachter gekomen dat het bestand niet versleuteld was, maar alleen ASCII armored (compressed):

You are just being sent data that is ASCII-armored. Sometimes this is done when clearsigning text. When this is the case, it looks encrypted, but is not, and therefore does not require any key for what appears to be decryption.

Ondertussen heb ik een patch toegepast voor de OpenPGP.pm module zodat de package niet meer op zn bek gaat, en dus ook non-encrypted files kunnen worden verwerkt.
Deze patch is naar aanleiding van een bugreport gepubliceerd, en kun je hier vinden:
http://rt.cpan.org/Public/Bug/Display.html?id=17392

Een simpel stukje code ter illustratie zonder passphrase en private key:

Perl:

use Crypt::OpenPGP;
my $pgp = Crypt::OpenPGP->new();
my $plaintext = $pgp->decrypt(Data => $cyphertext) or die $pgp->errstr;