☰

tlmgr mala firma

tag-icon • tag-icon tlmgr
tlmgr mala firma

Tengo algunos problemas desde hace dos semanas para instalar paquetes usando tlmgr. No estoy usando TeXlive, sino TinyTeX. Cuando intento instalar un paquete, aparece algunos errores como los siguientes:

sudo tlmgr install tcolorbox
query_ctan_mirror: Programs not set up, trying wget
cannot contact mirror.ctan.org, returning a backbone server!

tlmgr: verification of checksum for http://www.ctan.org/tex-archive/systems/texlive/tlnet failed: cryptographic signature verification of
  /tmp/LyMLZ8jFA1/EC2vcQRbQR
against
  http://www.ctan.org/tex-archive/systems/texlive/tlnet/tlpkg/texlive.tlpdb.sha512.asc
failed. Output was:
gpg: Signature made Tue Dec  3 00:55:21 2019 UTC using RSA key ID 19438C70
gpg: BAD signature from "TeX Live Distribution <[email protected]>"

Please try from a different mirror and/or wait a few minutes
and try again; usually this is because of transient updates.
If problems persist, feel free to report to [email protected].

Quizás podría reinstalar TinyTeX, pero me temo que si no funciona, no podré usar más mi sistema LaTeX. Quizás el problema sea el siguiente: cambié mi distribución de Linux y no reinstalé TinyTex. Es porque TinyTex está completamente en mi carpeta de inicio. Y con mi nueva distribución de Linux, gnupgla versión 1 es la predeterminada y antes era gnupgla versión 2.

Gracias por su ayuda.

Respuesta1

¡Gracias por tu comentario! La razón por la que estaba usando www.ctan.org fue porque cuando comencé a administrar mi sistema TeX, tlmgrfuncionaba sin especificar un espejo. Cuando especifico un espejo, por ejemplo:

sudo tlmgr info tcolorbox --repository http://ftp.fau.de/ctan/systems/texlive/tlnet/

funciona sin problemas. Todavía no sé el problema, ¡pero está solucionado!

Respuesta2

Otra opción es saltarse la verificación de las firmas, con la --verify-repo=noneopción. Según el manual de tlmgr,

--verify-repo=[ninguno|principal|todos]

Define el nivel de verificación realizada: si se especifica "ninguno", no se realiza ninguna verificación. Si se proporciona "principal" y hay disponible un binario GnuPG ("gpg") que funcione, se verifican todos los repositorios, pero solo se requiere firmar el repositorio principal. Si se proporciona "todos", entonces todos los repositorios deben estar firmados. Consulte "VERIFICACIÓN CRIPTOGRÁFICA" a continuación para obtener más detalles.

Tenga en cuenta que este es un riesgo potencial para la seguridad, ya que no está verificando si el servidor no ha sido dañado/comprometido.

información relacionada