web-dev-qa-db-ja.com

gpgでDebianCDを確認する方法は？

私はDebianインストールisoを http://cdimage.debian.org/debian-cd/current/AMD64/iso-dvd/ からダウンロードしました。 MD5SUMS および MD5SUMS.sign もダウンロードしました。
isoのmd5sumが MD5SUMS に存在するエントリと一致することを確認しました。

ここで、GPGを使用してMD5SUMSファイルをMD5SUMS.signと照合します。私はGPGにあまり詳しくありません。を使って確認してみました
gpg --verify MD5SUMS.sign MD5SUMS、しかし私はエラーが発生しました
gpg: Can't check signature: public key not found。

サインファイルに付随する公開鍵をインポートしていないので、これは予想されることです。インポートに必要なキーが見つかりませんでした。Debianドキュメントもこれについて明確ではありません。

Debianドキュメント gpgを使用したCDの検証については、 Debian GPGキーリング および以下のいくつかのキーフィンガープリントへのリンクが含まれています。

pub   4096R/64E6EA7D 2009-10-03
      Key fingerprint = 1046 0DAD 7616 5AD8 1FBC  0CE9 9880 21A9 64E6 EA7D
uid                  Debian CD signing key <[email protected]>

pub   4096R/6294BE9B 2011-01-05
      Key fingerprint = DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
uid                  Debian CD signing key <[email protected]>
sub   4096R/11CD9819 2011-01-05

pub   4096R/09EA8AC3 2014-04-15
      Key fingerprint = F41D 3034 2F35 4669 5F65  C669 4246 8F40 09EA 8AC3
uid                  Debian Testing CDs Automatic Signing Key <[email protected]>
sub   4096R/6BD05CFB 2014-04-15

キーリングやキーフィンガープリントの使い方がわかりません。 MD5SUMSファイルをMD5SUMS.signファイルで確認する方法を説明してください。

debiangpgverification
2
Bharat G

上記の重要な行を見逃しました：

gpg: Signature made Fri Sep 11 17:13:36 2015 CEST using RSA key ID 6294BE9B
gpg: Can't check signature: No public key

これは、このファイルがキー6294BE9Bで署名されていることを示しています。それはあなたが最初に受け取る必要がある鍵です：

gpg --keyserver hkp://pool.sks-keyservers.net --recv-keys 6294BE9B

これで、ファイルが実際にそのキーで署名されていることを確認できます。 -そのキーを信頼する場合は、すべて問題ありません。

通常、すべてのキーサーバーは互いに同期しています。どちらを使用してもかまいません。正しいキーを取得したかどうかわからない場合は、そのキーのフィンガープリント（gpg --fingerprint 6294BE9B）がWebサイトに記載されているものと同じであることを確認するか、そのキーの署名（gpg --list-sigs 6294BE9B）を確認してください。 （キーの署名者を信頼する場合は、キー自体を信頼できます。）

3
michas