GPG non può controllare la firma

10

Stavo cercando di ricompilare e ricostruire la fonte libevent2 da oneiric sul mio server natty e ho avuto un piccolo errore con gpg non potendo controllare la firma

# dpkg-source -x libevent_2.0.12-stable-1.dsc
gpgv: Signature made Fri Jun 17 07:12:50 2011 PDT using DSA key ID 7ADF9466
gpgv: Can't check signature: public key not found
dpkg-source: warning: failed to verify signature on ./libevent_2.0.12-stable-1.dsc

Qualche idea su come risolvere questo avviso?

compiling deb gnupg

— pietra focaia
fonte

10

Credo che la soluzione convenzionale sia quella di installare le chiavi GnuPG del pacchetto Debian Developers :

sudo apt-get install debian-keyring

— ændrük
fonte

Sì, i comandi gpg suggeriti qui da @enzotib e @Flint non hanno funzionato per me su Ubuntu 14.04, almeno per abilitare la convalida durante l'esecuzione apt-get source. Ma l'installazione del debian-keyringpacchetto ha funzionato, come suggerisce @ ændrük.

— fjarlq,

10

Prima di tutto, dovresti importare la chiave nel portachiavi locale come indicato da @enzotib:

gpg --keyserver keyserver.ubuntu.com --recv-keys 7ADF9466

Quindi esportare la chiave nelle chiavi di fiducia locali per renderla attendibile:

gpg --no-default-keyring -a --export 7ADF9466 | gpg --no-default-keyring --keyring ~/.gnupg/trustedkeys.gpg --import -

— pietra focaia
fonte

Funziona in Ubuntu 16.04 dove ~/.gnupg/trustedkeys.gpgnon esisteva.

— Stéphane Gourichon,

6

È necessario importare la chiave nel portachiavi locale con il seguente comando:

gpg --keyserver keyserver.ubuntu.com --recv-keys 7ADF9466

Quindi, riprova il comando.

— enzotib
fonte

1

Grazie, ma non è ancora riuscito a verificare la firma

— Flint,

1

@Flint: stai eseguendo come root, quindi anche questo comando dovrebbe essere eseguito come root, per passare al portachiavi di root. L'hai fatto?

— enzotib,

5

Esistono fonti ufficiali che documentano che questo approccio è sicuro? Come potrei sapere che 7ADF9466è davvero la chiave di firma corretta se non esiste nel pacchetto keyring? Cosa impedisce a un uomo in mezzo di pubblicare un dscfile firmato con una chiave diversa (possibilmente anche una chiave diversa con lo stesso hash a 32 bit).

— Kasperd,