如何使用 gpg 驗證 debian cds？

我已經從http://cdimage.debian.org/debian-cd/current/amd64/iso-dvd/下載了 Debian 安裝 iso 。我還下載了MD5SUMS和MD5SUMS.sign。

我驗證了 iso 的 md5sum 與MD5SUMS中存在的條目匹配。

現在我想使用 GPG 針對 MD5SUMS.sign 驗證 MD5SUMS 文件。我對GPG不是很熟悉。我嘗試驗證使用

gpg --verify MD5SUMS.sign MD5SUMS，但我得到了錯誤

gpg: Can't check signature: public key not found。

這是意料之中的，因為我沒有導入簽名文件隨附的公鑰。我找不到導入所需的密鑰，debian 文件也不清楚這一點。

關於使用 gpg 驗證 cd 的Debian 文件包括一個指向Debian GPG 密鑰環和一些密鑰指紋的連結，如下所示。

pub   4096R/64E6EA7D 2009-10-03
     Key fingerprint = 1046 0DAD 7616 5AD8 1FBC  0CE9 9880 21A9 64E6 EA7D
uid                  Debian CD signing key <debian-cd@lists.debian.org>

pub   4096R/6294BE9B 2011-01-05
     Key fingerprint = DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
uid                  Debian CD signing key <debian-cd@lists.debian.org>
sub   4096R/11CD9819 2011-01-05

pub   4096R/09EA8AC3 2014-04-15
     Key fingerprint = F41D 3034 2F35 4669 5F65  C669 4246 8F40 09EA 8AC3
uid                  Debian Testing CDs Automatic Signing Key <debian-cd@lists.debian.org>
sub   4096R/6BD05CFB 2014-04-15

我不知道如何使用鑰匙圈或鑰匙指紋。請說明如何使用 MD5SUMS.sign 文件驗證 MD5SUMS 文件。

您錯過了上面的重要行：

gpg: Signature made Fri Sep 11 17:13:36 2015 CEST using RSA key ID 6294BE9B
gpg: Can't check signature: No public key

這告訴你這個文件是用 key 簽名的6294BE9B。這是您需要首先收到的密鑰：

gpg --keyserver hkp://pool.sks-keyservers.net --recv-keys 6294BE9B

現在您可以驗證該文件是否確實使用該密鑰進行了簽名。- 如果你相信那把鑰匙，一切都很好。

---

所有密鑰伺服器通常彼此同步。你用哪一個真的沒關係。如果您不確定您是否獲得了正確的密鑰，請檢查該密鑰的指紋 ( gpg --fingerprint 6294BE9B) 是否與網站上給出的相同，或者檢查該gpg --list-sigs 6294BE9B密鑰的簽名 ( )。（如果您信任密鑰的簽名者，您就可以信任密鑰本身。）

引用自：https://unix.stackexchange.com/questions/248363