GnuPG 命令行 - 验证 KeePass 签名

Question 1

在您提供的第一个命令中，您应该引用 .asc 签名文件 - 而不是 .exe 文件。.exe 文件也应该与 .asc 文件位于同一目录中。

来自 gpg 手册页：

- 核实
      假设第一个参数是一个签名文件或一个分离的签名，并在没有生成器的情况下对其进行验证。
      任何输出。如果没有参数，则从 STDIN 读取签名数据包。如果仅给出 sigfile，
      它可能是完整的签名，也可能是分离的签名，在这种情况下，签名的内容应该以
      不带“.sig”或“.asc”扩展名的文件。如果参数超过 1 个，则第一个参数应为分离的
      签名，其余文件是已签名的内容。要从 STDIN 读取已签名的内容，请使用“-”
      作为第二个文件名。出于安全原因，分离签名无法从
      STDIN 而不采用上述方式表示。

Answer

在您提供的第一个命令中，您应该引用 .asc 签名文件 - 而不是 .exe 文件。.exe 文件也应该与 .asc 文件位于同一目录中。

来自 gpg 手册页：

- 核实
      假设第一个参数是一个签名文件或一个分离的签名，并在没有生成器的情况下对其进行验证。
      任何输出。如果没有参数，则从 STDIN 读取签名数据包。如果仅给出 sigfile，
      它可能是完整的签名，也可能是分离的签名，在这种情况下，签名的内容应该以
      不带“.sig”或“.asc”扩展名的文件。如果参数超过 1 个，则第一个参数应为分离的
      签名，其余文件是已签名的内容。要从 STDIN 读取已签名的内容，请使用“-”
      作为第二个文件名。出于安全原因，分离签名无法从
      STDIN 而不采用上述方式表示。

Question 2

看起来你把事情搞得太复杂了:-) 尝试在以下位置搜索 DSA 密钥 ID FEB7C7BChttps://keyserver.pgp.com/vkd/GetWelcomeScreen.event我想你明白了！

Answer

看起来你把事情搞得太复杂了:-) 尝试在以下位置搜索 DSA 密钥 ID FEB7C7BChttps://keyserver.pgp.com/vkd/GetWelcomeScreen.event我想你明白了！

Question 3

这篇文章主要是为了“从 A 到 Z”的细分，这样任何遇到困难的人都可以得到答案，而不必翻遍所有的评论。请不要投票赞成；因为荣誉归于参与者（Mike Fitzpatrick、grawity 和 Jan Ivar Beddari）。

另一件事：不要相信这个帖子！ 违反直觉的说法，但我对 GPG 的工作原理的理解是有缺陷的/有限的。当我对此有了更好的理解时，我会更新它；现在我对它的工作原理还一头雾水。

下载您想要的副本KeePass，相应的签名以及你最喜欢的 Linux 发行版上的同一目录（就我而言，我一直在使用 Ubuntu，并将桌面作为工作目录）

这个很重要！这公钥KeePass 网站上的公钥不应下载！您需要下载其他用户信任的公钥，希望这些用户是您信任的个人。您怎么做呢？请拥有受信任公钥的朋友给您一份副本；但您不一定有朋友拥有该公钥。好吧，感谢 Jan Ivar Beddari 的帖子，您可以从下载 Dominik Reichl 发布的公钥这里并从那里使用导入公钥。

打开终端（Ubuntu 中为“CTRL+ALT+T”）
跑步cd Desktop/
跑步gpg --import %KEYNAME%.asc
跑步gpg --verify %SIGNATURE%.asc
将生成的密钥指纹与 KeePass 网站上的密钥指纹进行比较

以下是我使用来自 keyserver.pgp.com 的公钥时的结果：

proto@type:~$ cd Desktop/

proto@type:~/Desktop$ gpg --import key0xDCCAA5B3FEB7C7BC.asc 
gpg: key FEB7C7BC: public key "Dominik Reichl " imported
gpg: Total number processed: 1
gpg:               imported: 1
gpg: no ultimately trusted keys found

proto@type:~/Desktop$ gpg --verify KeePass-2.14-Setup.exe.asc
gpg: Signature made Sun 02 Jan 2011 05:25:24 AM MST using DSA key ID FEB7C7BC
gpg: Good signature from "Dominik Reichl "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2171 BEEA D0DD 92A1 8065  5626 DCCA A5B3 FEB7 C7BC

以下是我使用 KeePass 网站上的公钥时的结果：

proto@type:~$ cd Desktop

proto@type:~/Desktop$ gpg --import Dominik_Reichl.asc
gpg: key FEB7C7BC: public key "Dominik Reichl " imported
gpg: Total number processed: 1
gpg:               imported: 1

proto@type:~/Desktop$ gpg --verify KeePass-2.14-Setup.exe.asc
gpg: Signature made Sun 02 Jan 2011 05:25:24 AM MST using DSA key ID FEB7C7BC
gpg: Good signature from "Dominik Reichl "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2171 BEEA D0DD 92A1 8065  5626 DCCA A5B3 FEB7 C7BC

如您所见，结果都相同，除了“gpg：未找到最终受信任的密钥”部分。我不确定该怎么做，但密钥指纹与 KeePass 网站上的密钥指纹相匹配，这在验证文件时很重要。不过，这与验证公钥是否值得信赖有很大不同。公钥是您信任或不信任的东西，就像您是否信任陌生人一样。让他们显得值得信赖的一种方式是，如果他们有几个人为他们担保，公钥也是如此。同样，这是我有限的范围，所以您也需要尽职尽责！

但是如果你可以等待，我会慢慢编辑我的帖子，使其简洁、简单，并希望准确地表示在验证 KeePass 副本时正确使用 GPG 的方式。

Answer