Verificação do arquivo de checksums do Clonezilla usando assinatura com extensão gpg

Question

Existem CHECKSUMS.TXT e Arquivos CHECKSUMS.TXT.gpg disponíveis na página de download oficial do Clonezilla Live .

No entanto, não posso confirmar sua assinatura pelo comando usual verify:

$ gpg --verify --keyring ./CHECKSUMS.TXT.gpg ./CHECKSUMS.TXT
gpg: no valid OpenPGP data found.
gpg: the signature could not be verified.
Please remember that the signature file (.sig or .asc)
should be the first file given on the command line.

e

$ gpg --verify ./CHECKSUMS.TXT.gpg
gpg: no signed data
gpg: can't hash datafile: No data

Como posso verificar a integridade do arquivo CHECKSUMS.TXT usando o arquivo CHECKSUMS.TXT.gpg que está disponível no site oficial do Clonezilla Live?

    

Answer 1

O Clonezilla usa uma assinatura separada. O manual do GPG tem um parágrafo sobre assinaturas desanexadas, que mostra como criá-las e como verificá-los.

A linha de comando correta para verificar tais assinaturas é gpg --verify ./CHECKSUMS.TXT.gpg ./CHECKSUMS.TXT .

Nunca antes vi a linha gpg --verify --keyring ./CHECKSUMS.TXT.gpg ./CHECKSUMS.TXT , que tenta verificar um arquivo assinado (contendo a assinatura e o documento original) ./CHECKSUMS.txt ao adicionar as chaves no ./CHECKSUMS.TXT.gpg ao chaveiro.