.asc PGP 서명 파일을 사용하여 pgp/gpg 서명을 확인하거나 확인하는 방법은 무엇입니까? (서명 확인 불가: 공개키 없음)

2024-6-9 • tag-icon

gpg pgp signature

.asc PGP 서명 파일을 사용하여 pgp/gpg 서명을 확인하거나 확인하는 방법은 무엇입니까? (서명 확인 불가: 공개키 없음)

여기에서 Ultimaker Cura 3D 프린터 슬라이싱 프로그램을 설치하겠습니다(https://github.com/Ultimaker/Cura/releases/tag/5.1.0)를 Linux Ubuntu 20.04로 변경합니다.

저는 다음 두 파일을 다운로드했습니다.

Ultimaker-Cura-5.1.0-linux-modern.AppImage
Ultimaker-Cura-5.1.0-linux-modern.AppImage.asc

텍스트 편집기에서 .asc 파일을 열면 다음이 포함되어 있음을 알 수 있습니다.

-----BEGIN PGP SIGNATURE-----

iQEzBAABCgAdFiEEGInq7S25O/ff+zymwaG5EGnEr1kFAmLWpkEACgkQwaG5EGnE
r1necwgAwO8fqUtXicpJPiIXeFR6L3a2cTc/hLgTgk4Bw8Ey5LKiQyeIsDd3r/vZ
tGiMsb4TrG8WuGIvidBoubuamnIdy2zKyy8Gk1e+MiIgfIWdWIl7KuX/K3GY0oyV
H5rfQWv/g4hCHsDXRpElva79p6W6DYvgdSGeNTpjaeGmLT29OcXCP4wPvSN4izsi
9AU+0DOdq204ZeiGKboXpdPdkWXeyuMJHFdvTlOZVZSb0Ib0zZugSmWYLo8fvK2p
8mrqPMdLu7BMS9ZS/wGrxRfVyOwxk72xuPjGXsrcPXWHtAF5OjvzvCPUzGfnDN10
fVF3+MKS79PQOEYXwAi2hixPCReWNA==
=12yS
-----END PGP SIGNATURE-----

이 .asc 서명 파일을 사용하여 기본 파일을 확인하려면 어떻게 해야 합니까?

이 페이지를 읽었는데 마지막 예가 적용되는 것 같습니다.https://www.gnupg.org/gph/en/manual/x135.html

그래서 나는 이것을 시도했습니다 :

gpg --verify Ultimaker-Cura-5.1.0-linux-modern.AppImage.asc Ultimaker-Cura-5.1.0-linux-modern.AppImage

...실행 결과에 다음과 같은 오류가 표시됩니다.

~/Downloads/Install_Files/Cura$ gpg --verify Ultimaker-Cura-5.1.0-linux-modern.AppImage.asc Ultimaker-Cura-5.1.0-linux-modern.AppImage
gpg: Signature made Tue 19 Jul 2022 05:40:33 AM MST
gpg:                using RSA key 1889EAED2DB93BF7DFFB3CA6C1A1B91069C4AF59
gpg: Can't check signature: No public key

나는 해결책을 따르려고 노력했다.이 답변, 위 출력에 인쇄된 RSA 키 해시를 사용하면 다음 중 하나도 작동하지 않습니다.

$ gpg --receive-keys 1889EAED2DB93BF7DFFB3CA6C1A1B91069C4AF59
gpg: keyserver receive failed: Server indicated a failure

나는 주위를 둘러보았다:Google에서 "ultimaker 공개 키"를 검색해 보세요.

관련된

내 질문:어떤 AppImage를 설치해야 합니까(.AppImage와 modern.AppImage)?

답변1

먼저 로컬 키링에 공개 키를 추가해야 하기 때문에 해당 오류("서명을 확인할 수 없습니다: 공개 키가 없습니다")가 발생합니다.

Ultimaker 직원은 서명에 그다지 익숙하지 않은 것 같습니다. 저장소의 어느 곳에서도 서명 키를 게시하거나 찾을 수 있는 위치를 표시하지 않기 때문입니다.

이에 대한 질문이 있습니다.여러 해 전에, GitHub 사용자 "LipuFei"가 댓글을 달았습니다.

이제 공개 키는 공개 키 서버에 있습니다.

$ gpg --keyserver pgp.mit.edu --recv-keys C1A1B91069C4AF59
gpg: /home/l.fei/.gnupg/trustdb.gpg: trustdb created
gpg: key C1A1B91069C4AF59: public key "Ultimaker Build Server <[email protected]>" imported
gpg: Total number processed: 1
gpg:               imported: 1

공개 가져오기 명령을 실행하면 .asc서명 파일을 사용하여 다운로드를 확인할 수 있습니다. 이 예에서는 키 ID를 사용 C1A1B91069C4AF59하지만 키 지문을 사용할 수도 1889EAED2DB93BF7DFFB3CA6C1A1B91069C4AF59있으며 동일한 키를 얻게 됩니다.

고쳐 쓰다

오류 없이 실행하면 gpg --keyserver pgp.mit.edu --recv-keys 1889EAED2DB93BF7DFFB3CA6C1A1B91069C4AF59결과 키는 다음과 같습니다.

-----BEGIN PGP PUBLIC KEY BLOCK-----
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==
=o+pH
-----END PGP PUBLIC KEY BLOCK-----

하지만 아직은이 키를 신뢰할 이유가 없습니다. 프로젝트는 공식 위치에 키, 지문, 키 ID를 공개하지 않으므로 키를 신뢰할 이유가 없습니다. 예, 파일 서명에 사용된 키와 일치합니다. 하지만 이것이 실제로 프로젝트에서 사용된 키인가요, 아니면 영리한 해킹인가요? 내 말은, 물론이지.아마도올바른 키이지만 프로젝트에서 키를 사용하는 방식은 다운로드가 전송 중에 손상되지 않았는지 확인하는 것 외에는 특별히 유용하지 않습니다.

관련 정보