如何验证腻子的 PGP RSA 和/或 DSA 校验和签名？

Question

要验证putty的下载完整性，首先验证putty 的这些校验和文件的“SHA-512: (RSA sig) | (DSA sig) ” PGP 签名的最佳方法是什么？ （我猜“sig”的意思是签名。）

从腻子下载页面：

MD5:        md5sums     (or by FTP)     (RSA sig)   (DSA sig)
SHA-1:      sha1sums    (or by FTP)     (RSA sig)   (DSA sig)
SHA-256:    sha256sums  (or by FTP)     (RSA sig)   (DSA sig)
SHA-512:    sha512sums  (or by FTP)     (RSA sig)   (DSA sig)

我已经知道如何验证纯文本的校验和使用类似（sha512sums）HashSlash，但我感兴趣的RSA / DSA签署校验（右上图）。

当我用文本编辑器打开下载的 DSA sig 文件时，第一行是“-----BEGIN PGP SIGNED MESSAGE-----”。

因此，我访问了 PGP站点并深入了解了 Windows PGP 8.0的最新版本。但是它让我进入了赛门铁克网站，在那里他们销售“由 PGP 技术提供支持”的产品，这看起来不像我要找的东西。

那么，如今验证这些校验和 PGP 签名的最佳方法是什么？

在此先感谢您的帮助。

---

笔记：

• 我需要腻子用于 SSH 登录到我的网站主机。
• 其他可用的 PGP 版本似乎很旧。

Answer 1

最流行的工具是GnuPG，通常是一个命令行工具，但Gpg4win项目有一个 Windows 版 GnuPG 和两个图形界面。

$ gpg --verify putty.exe.DSA putty.exe
gpg：签名于 2013-08-06T20:21:29 EEST
gpg：使用 DSA 密钥 FECD6F3F08B0A90B
gpg：来自“PuTTY Releases (DSA)”的良好签名 [未知]
gpg：警告：此密钥未经过可信签名认证！
gpg：没有迹象表明签名属于所有者。
主键指纹：00B1 1009 38E6 9800 6518 F0AB FECD 6F3F 08B0 A90B

（我之前已经导入了签名者的公钥。你也需要这样做，并找到一种方法来确保你拥有正确的密钥而不是假的......）

虽然 PGP 公司很久以前就被赛门铁克收购，但在他们各种基于 PGP 的产品中，您仍然可以找到Symantec Desktop Email Encryption和Symantec Encryption Desktop Corporate 的试用版，它们是原始 PGP for Windows 和商业 PGP Desktop 8.x 的延续–9.x。

PGP Desktop 8.x 的试用版可以在很多地方找到。7.x 很可能可以很好地验证签名，即使它缺少安全修复和更新。