如何验证 gpg 签名的文件

Question

我尝试安装最新版本的 libpcap（因为存储库中的版本似乎不是最新的），但遇到了以下问题。我tcpdump-workers.asc从 tcpdump 网站（该网站也托管 libpcap）复制了文本，并使用以下命令将密钥导入我的密钥环：

gpg --import tcpdump-workers.asc

一切正常，但当我尝试使用 验证文件libpcap-1.4.0.tar.gz与密钥时gpg --verify，我最终收到一条消息，提示unexpected data. 已找到。我想知道是否有其他人遇到过这个问题，因为使用谷歌搜索我的问题的古老技术几乎无法回答我的问题。

Answer 1

这取决于你使用哪个文件来验证签名。我尝试描述验证它的步骤：

1. 下载 TCPdump 组的签名密钥：tcpdump-workers.asc。

   wget http://www.tcpdump.org/tcpdump-workers.asc
   

2. 将密钥导入 GnuPG：

   gpg --import tcpdump-workers.asc
   

3. 下载发布libpcap版本和签名：

   wget http://www.tcpdump.org/release/libpcap-1.4.0.tar.gz{,.sig}
   

4. 验证签名：

   gpg --verify libpcap-1.4.0.tar.gz.sig libpcap-1.4.0.tar.gz
   

最后一个命令应该输出类似以下内容的内容：

gpg: Signature made Mon May 20 18:26:04 2013 CEST using RSA key ID D9C15D0D
gpg: using PGP trust model
gpg: Good signature from "The Tcpdump Group (Package signing key) <[email protected]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.

第三行表示 GnuPG 认为该签名良好。