GnuPG 命令列 - 驗證 KeePass 簽名

Question 1

在您提供的第一個命令中，您應該引用 .asc 簽名檔 - 而不是 .exe 檔案。 .exe 檔案也應與 .asc 檔案位於同一目錄中。

從 gpg 手冊頁：

- 核實
      假設第一個參數是簽名文件或分離簽名並驗證它而不生成 -
      荷蘭國際集團的任何輸出。如果不帶參數，則從 STDIN 讀取簽章資料包。如果只給一個 sigfile，
      它可能是一個完整的簽名或一個獨立的簽名，在這種情況下，簽名的東西應該在一個
      不含“.sig”或“.asc”副檔名的檔案。如果有多個參數，第一個參數應該是獨立的
      簽名，剩下的文件就是簽名的東西。若要從 STDIN 讀取簽名內容，請使用“-”
      作為第二個文件名。出於安全原因，分離的簽名無法讀取來自的簽名材料
      STDIN，而不用上述方式表示。

Answer

在您提供的第一個命令中，您應該引用 .asc 簽名檔 - 而不是 .exe 檔案。 .exe 檔案也應與 .asc 檔案位於同一目錄中。

從 gpg 手冊頁：

- 核實
      假設第一個參數是簽名文件或分離簽名並驗證它而不生成 -
      荷蘭國際集團的任何輸出。如果不帶參數，則從 STDIN 讀取簽章資料包。如果只給一個 sigfile，
      它可能是一個完整的簽名或一個獨立的簽名，在這種情況下，簽名的東西應該在一個
      不含“.sig”或“.asc”副檔名的檔案。如果有多個參數，第一個參數應該是獨立的
      簽名，剩下的文件就是簽名的東西。若要從 STDIN 讀取簽名內容，請使用“-”
      作為第二個文件名。出於安全原因，分離的簽名無法讀取來自的簽名材料
      STDIN，而不用上述方式表示。

Question 2

你似乎把事情變得過於複雜了:-) 嘗試在以下位置搜尋 DSA 金鑰 ID FEB7C7BChttps://keyserver.pgp.com/vkd/GetWelcomeScreen.event我想你明白了！

Answer

你似乎把事情變得過於複雜了:-) 嘗試在以下位置搜尋 DSA 金鑰 ID FEB7C7BChttps://keyserver.pgp.com/vkd/GetWelcomeScreen.event我想你明白了！

Question 3

這篇文章主要是「從 A 到 Z」的細分，這樣任何陷入困境的人都可以得到答案，而不必挖掘所有評論。請不要對此投下贊成票；這要歸功於參與者（Mike Fitzpatrick、grawity 和 Jan Ivar Beddari）。

另一件事：不要相信這個帖子！ 違反直覺的說法，但我發布此內容時對 GPG 的工作原理有缺陷/有限的理解。當我對此有更好的理解時，我會更新它；現在我對它的工作原理還不太了解。

下載您想要的副本凱通，相應的簽名，以及您最喜歡的 Linux 發行版上同一目錄的公鑰（在我的例子中，我一直在使用 Ubuntu 並將桌面作為工作目錄）

這個很重要！這公鑰KeePass網站上的不該下載！您需要下載其他使用者信任的公鑰，希望這些使用者是您信任的個人。你是怎樣做的？請擁有可信公鑰的朋友給您一份副本；但你不一定有一個朋友有這樣的經驗。好吧，感謝 Jan Ivar Beddari 的帖子，人們可以從 Dominik Reichl 發布的公鑰下載這裡並使用從那裡導入公鑰。

開啟終端機（Ubuntu 中為“CTRL+ALT+T”）
跑步cd Desktop/
跑步gpg --import %KEYNAME%.asc
跑步gpg --verify %SIGNATURE%.asc
將產生的密鑰指紋與 KeePass 網站上的密鑰指紋進行比較

以下是我使用 keyserver.pgp.com 中的公鑰時的結果：

proto@type:~$ cd Desktop/

proto@type:~/Desktop$ gpg --import key0xDCCAA5B3FEB7C7BC.asc 
gpg: key FEB7C7BC: public key "Dominik Reichl " imported
gpg: Total number processed: 1
gpg:               imported: 1
gpg: no ultimately trusted keys found

proto@type:~/Desktop$ gpg --verify KeePass-2.14-Setup.exe.asc
gpg: Signature made Sun 02 Jan 2011 05:25:24 AM MST using DSA key ID FEB7C7BC
gpg: Good signature from "Dominik Reichl "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2171 BEEA D0DD 92A1 8065  5626 DCCA A5B3 FEB7 C7BC

以下是我使用 KeePass 網站上的公鑰時的結果：

proto@type:~$ cd Desktop

proto@type:~/Desktop$ gpg --import Dominik_Reichl.asc
gpg: key FEB7C7BC: public key "Dominik Reichl " imported
gpg: Total number processed: 1
gpg:               imported: 1

proto@type:~/Desktop$ gpg --verify KeePass-2.14-Setup.exe.asc
gpg: Signature made Sun 02 Jan 2011 05:25:24 AM MST using DSA key ID FEB7C7BC
gpg: Good signature from "Dominik Reichl "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2171 BEEA D0DD 92A1 8065  5626 DCCA A5B3 FEB7 C7BC

正如您所看到的，結果都是相同的，除了“gpg：沒有找到最終可信的密鑰”部分。我不知道該怎麼做，但密鑰指紋與 KeePass 網站上的指紋相匹配，這在驗證文件時很重要。但這與驗證公鑰是否可信有很大不同。公鑰是您信任使用或不使用的東西，就像您是否信任陌生人一樣。讓他們顯得值得信賴的一種方法是，他們有幾個人為他們提供擔保，這對公鑰來說也是一樣的。再次強調，這只是我的有限範圍，所以你也需要盡職調查！

如果您能耐心等待，我將慢慢編輯我的帖子，以簡潔、簡單且希望能夠準確地說明在驗證 KeePass 副本時正確使用 GPG 的情況。

Answer