공개키 없이 gpg 서명파일을 자동으로 검증하는 방법(공개키 다운로드), 확인하고 다음 단계 시작하기

공개키 없이 파일을 검증하는 다운로드 작업을 생성하고 싶은데, 파일을 다운로드하고 다음 단계에 적합한지 답변을 받아보겠습니다.

나는 linux-4.12.7.tar​​r.gz 및 linux-4.12.7.tar​​r.sign(https://www.kernel.org/signature.html).

gpg는 잘 작동합니다.

~# xz -cd linux-4.12.7.tar.xz | gpg --verify linux-4.12.7.tar.sign -
gpg: assuming signed data in 'linux-4.12.7.tar'
gpg: Signature made Sun 13 Aug 2017 04:35:18 CEST
gpg:                using RSA key 647F28654894E3BD457199BE38DBBDC86092693E
gpg: Can't check signature: public key not found

status-fd가 있는 gpg에는 다음이 있습니다.

~# xz -cd linux-4.12.7.tar.xz | gpg --status-fd 1 --verify linux-4.12.7.tar.sign -
gpg: assuming signed data in 'linux-4.12.7.tar'
[GNUPG:] NEWSIG
gpg: Signature made Sun 13 Aug 2017 04:35:18 CEST
gpg:                using RSA key 647F28654894E3BD457199BE38DBBDC86092693E
[GNUPG:] ERRSIG 38DBBDC86092693E 1 8 00 1502591718 9
[GNUPG:] NO_PUBKEY 38DBBDC86092693E
gpg: Can't check signature: public key not found

차단되었습니다. 공개 키를 자동으로 다운로드하고 다음 단계에 적합한지 어떻게 확인할 수 있나요? 다음 단계가 잘 진행되면, 그렇지 않으면 알람이 울리고 멈춥니다.

수동으로 수행하지만 키를 사용하여 자동으로 수행하는 방법은 무엇입니까?

~# gpg --keyserver hkp://keys.gnupg.net --recv-keys 38DBBDC86092693E
gpg: /root/.gnupg/trustdb.gpg: trustdb created
gpg: key 38DBBDC86092693E: public key "Greg Kroah-Hartman (Linux kernel stable release signing key) <[email protected]>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1

좋을 때:

~# xz -cd linux-4.12.7.tar.xz | gpg --verify linux-4.12.7.tar.sign -
gpg: Signature made dim. 13 août 2017 04:35:18 CEST
gpg:                using RSA key 647F28654894E3BD457199BE38DBBDC86092693E
gpg: Good signature from "Greg Kroah-Hartman (Linux kernel stable release signing key) <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 647F 2865 4894 E3BD 4571  99BE 38DB BDC8 6092 693E

마지막으로 잘 작동하면 다음 단계로 넘어갑니다.

미리 감사드립니다.