Recuperar chaves públicas que assinaram uma chave que tenho

4

Estou tentando descobrir como fazer o seguinte em um comando.

Eu tenho uma imagem ISO junto com seu arquivo de assinatura * .sig. Eu tentei verificá-lo via GnuPG 2, mas ele relatou uma falta de chave pública me dando sua impressão digital. Recuperei com êxito uma chave usando o seguinte

gpg2 --keyserver hkp://keys.gnupg.net --recv-key <fingerprint>

mas quando eu verifiquei a chave

gpg2 --edit-key <KEY ID>

seguido por

gpg> check

Eu recebi esta mensagem:

27 signatures not checked due to missing keys

Como posso recuperar todas essas chaves para verificar se a chave que tenho é confiável?

    
por Celdor 27.05.2017 / 12:31

1 resposta

3

Você não está faltando chaves para a assinatura do ISO, mas chaves que emitiram certificações na chave que assinou a imagem.

O GnuPG não faz o download recursivo de outras chaves, você terá que fazer isso sozinho (por exemplo, executando uma linha de comando como a que você propôs nos comentários). Mas esteja ciente de que os certificados fornecidos por outras chaves ainda não afirmam que a chave é válida, é muito fácil gerar redes inteiras de chaves que imitam a verdadeira rede de confiança do OpenPGP, como se faz no Evil 32 ataque. Se você quiser validar alguma chave verificando as certificações, sempre crie um caminho de confiança que termine na sua própria chave (ou alguma outra chave que você verificou através de outra mídia, por exemplo, encontrando a pessoa).

    
por 28.05.2017 / 15:54

Tags