如何验证 gpg 签名文件

Question

我试图安装最新版本的 libpcap （因为存储库中的版本似乎不是最新的）并遇到了以下问题。我tcpdump-workers.asc从 tcpdump 网站（也托管 libpcap）复制了文本，并使用以下命令将密钥导入到我的密钥环中

gpg --import tcpdump-workers.asc

当一切都很好但是当我尝试使用libpcap-1.4.0.tar.gz密钥验证文件时gpg --verify，我最终收到了这样的消息unexpected data。被找到。我想知道是否还有其他人遇到过这个问题，因为谷歌搜索我的问题的古老技术对回答我的问题几乎没有作用。

Answer 1

这取决于您使用哪个文件来验证签名。我尝试描述验证它的步骤：

1. 下载 TCPdump 组的签名密钥：tcpdump-workers.asc。

   wget http://www.tcpdump.org/tcpdump-workers.asc
   

2. 将密钥导入 GnuPG：

   gpg --import tcpdump-workers.asc
   

3. 下载libpcap版本和签名：

   wget http://www.tcpdump.org/release/libpcap-1.4.0.tar.gz{,.sig}
   

4. 验证签名：

   gpg --verify libpcap-1.4.0.tar.gz.sig libpcap-1.4.0.tar.gz
   

最后一个命令应该输出如下内容：

gpg: Signature made Mon May 20 18:26:04 2013 CEST using RSA key ID D9C15D0D
gpg: using PGP trust model
gpg: Good signature from "The Tcpdump Group (Package signing key) <release@tcpdump.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.

第三行表示 GnuPG 认为该签名良好。