web-dev-qa-db-ja.com

asc署名ファイルを使用してファイルを確認する方法

例として、このプロジェクトは*.ascダウンロードの内容を確認するためのPGP署名付きのファイル（チェックサムではなく、空の列が表示されます）： https://ossec.github.io/downloads.html

このファイルはどのように使用しますか？私は試した gpg --verifyおよびその他の亜種ですが、ファイルまでの名前と一致しているようですが、ダウンロードされたときのファイル名は完全に同じではありません...どのように動作するかは不明です。

gpgchecksumpgpdigital-signatures
13
user8897013
  • キーファイルをダウンロードします。
wget https://ossec.github.io/files/OSSEC-ARCHIVE-KEY.asc
  • キーファイルを調べて、EE1B0E6B2D8387B7をそのキーIDとして。
gpg --keyid-format long --list-options show-keyring OSSEC-ARCHIVE-KEY.asc
  • 正しい場合は、キーをインポートします。
gpg --import OSSEC-ARCHIVE-KEY.asc
  • ソフトウェアパッケージをダウンロードする
wget https://github.com/ossec/ossec-hids/archive/2.9.3.tar.gz
  • 署名ファイルをダウンロード
https://github.com/ossec/ossec-hids/releases/download/2.9.3/ossec-hids-2.9.3.tar.gz.asc
  • 確認してください
gpg --verify ossec-hids-2.9.3.tar.gz.asc 2.9.3.tar.gz

出力

gpg: Signature made Sat Dec 23 16:13:01 2017 UTC
gpg:                using RSA key EE1B0E6B2D8387B7
gpg: Good signature from "Scott R. Shinn <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: B50F B194 7A0A E311 45D0  5FAD EE1B 0E6B 2D83 87B7
14
Евгений Новиков