tobrowser 签名验证失败 - 故障还是“攻击”？

Question

我想尝试在我的新 Linux Mint 18.1 安装中使用 TOR。所以我apt-get installedtorbrowser-launcher和tor，然后跑了torbrowser-launcher。它打开了一个对话框，告诉我它正在下载 TOR 浏览器；但是当它完成时，它说它没有通过签名检查并且我可能“受到攻击”（哦，我的！）。

现在，我个人不太可能受到某种攻击（我对此还不够重要），所以我猜这要么是技术故障，要么是可能的，尽管可能性要小得多，一个人- 中间攻击覆盖我的 ISP 而不是我个人，邪恶的政府监视或其他什么。

我怎么知道？我该怎么办？

顺便说一下，下载的网址是：

https://dist.torproject.org/torbrowser/6.5/tor-browser-linux64-6.5_en-US.tar.xz.asc https://dist.torproject.org/torbrowser/6.5/tor-browser-linux64- 6.5_en-US.tar.xz

Answer 1

这不是攻击，只是过时的密钥。

GitHub 存储库中有关于此问题的问题报告。

那里报告的一种解决方法是运行：

gpg --homedir "$HOME/.local/share/torbrowser/gnupg_homedir/" --refresh-keys --keyserver pgp.mit.edu

之前torbrowser-launcher。然后它起作用了。Kusalananda 的建议很可能也有效，但除非我撤消密钥更新，否则我无法检查。