主页 / unix / 问题 / 465797
Accepted
Tino
Asked: 2018-08-31 08:01:43 +0800 CST

如何验证 https://files.devuan.org/devuan-devs.gpg

  • 772

我正在运行 Devuan Jessie。我想从头开始安装另一个 Devuan Ascii。所以我下载了：

但我发现没有办法进行身份验证devuan-devs.gpg。

其他发行版（如 Debian 或 Ubuntu 或类似发行版）允许我从现有的先前版本验证 ISO。

但是对于Devuan，我没有找到任何办法：

tino@ts:~/ISO/devuan_ascii-2.0.0$ gpg --verify SHA256SUMS.asc
gpg: assuming signed data in `SHA256SUMS'
gpg: Signature made Wed 06 Jun 2018 08:55:55 PM CEST using DSA key ID 0B5F062F
gpg: Can't check signature: public key not found
tino@ts:~/ISO/devuan_ascii-2.0.0$ gpg --no-default-keyring --keyring /usr/share/keyrings/devuan-archive-keyring.gpg --verify SHA256SUMS.asc
gpg: assuming signed data in `SHA256SUMS'
gpg: Signature made Wed 06 Jun 2018 08:55:55 PM CEST using DSA key ID 0B5F062F
gpg: Can't check signature: public key not found
tino@ts:~/ISO/devuan_ascii-2.0.0$ gpg --no-default-keyring --keyring /usr/share/keyrings/devuan-keyring.gpg --verify SHA256SUMS.asc
gpg: assuming signed data in `SHA256SUMS'
gpg: Signature made Wed 06 Jun 2018 08:55:55 PM CEST using DSA key ID 0B5F062F
gpg: Can't check signature: public key not found

tino@ts:~/ISO/devuan_ascii-2.0.0$ gpg --keyring ../devuan-devs.gpg --verify SHA256SUMS.asc
gpg: assuming signed data in `SHA256SUMS'
gpg: Signature made Wed 06 Jun 2018 08:55:55 PM CEST using DSA key ID 0B5F062F
gpg: Good signature from "Vincenzo (KatolaZ) Nicosia <[email protected]>"
gpg:                 aka "Vincenzo Nicosia (KatolaZ) <[email protected]>"
gpg:                 aka "Vincenzo Nicosia (KatolaZ) <[email protected]>"
gpg:                 aka "KatolaZ <[email protected]>"
gpg:                 aka "Enzo Nicosia <[email protected]>"
gpg:                 aka "Enzo Nicosia -- KatolaZ <[email protected]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 8E59 D6AA 445E FDB4 A153  3D5A 5F20 B3AE 0B5F 062F

由于“钥匙未经认证”，没有迹象表明钥匙不是假的。 如何修复这条破碎的信任链？

https://devuan.org/os/documentation/dev1fanboy/general-information也没有解决这个谜。

笔记：

devuan-devs.gpg大概不是假的。然而，这种假设并没有帮助。必须有某种方法来确保它不是假的。最初的母鸡问题已经解决了，因为 Devuan (Jessie) 已经在我身边跑了。

肯定有比将 Jessie 升级到 Ascii 更好的方法来验证 Ascii 的 ISO。正确的？

gpg signature

2 个回答

  1. 为了读者的利益，我找到了一点帮助。这不是很多，但它是一小步。（现在我保留接受的答案，它仍然是最好的答案。）

    这是 Devuan 的“旧”键的输出：

    $ gpg devuan-devs.gpg | head -3
gpg: WARNING: no command supplied.  Trying to guess what you mean ...
pub   rsa4096 2015-11-20 [SC] [expired: 2018-11-20]
      102EFE3BBA4B2E45EBD56C7A27B9FAA4EBAA93A1
uid           Daniel Lambert Reurich <[email protected]>

    这是 Devuan 的“新”键的输出：

    $ gpg devuan-devs.gpg.1 | head -3
gpg: WARNING: no command supplied.  Trying to guess what you mean ...
pub   rsa4096 2015-11-20 [SC] [expires: 2021-02-24]
      102EFE3BBA4B2E45EBD56C7A27B9FAA4EBAA93A1
uid           Daniel Lambert Reurich <[email protected]>

    devuan-devs.gpg.1来自https://files.devuan.org/devuan-devs.gpg

    你可以发现两件事：

    1. 有效期已更新
    2. 钥匙的指纹没有改变：102EFE3BBA4B2E45EBD56C7A27B9FAA4EBAA93A1

    因此，如果您找到一些您信任的旧密钥，您可以检查新密钥是否基于旧密钥，这样您也可以信任新密钥。（嗯，不太可能有人破解了私钥，能够破坏 Devuan 上传公钥上的虚假更新，而没有人检测到这一点。）

    • 考虑到安全性，我没有找到一种方法来正确、轻松地自动执行此类更新，抱歉。所以我们所拥有的只有这种非常繁琐且极易出错（人类不擅长检查两个长十六进制字符串是否真的相同）的手动方式。

    • 我没有找到摆脱的方法gpg: WARNING:（除了用 忽略它2>/dev/null，但忽略 STDERR 可能是当你想做正确的事情时你能做的最愚蠢的事情）。

    现在我们确信新密钥不会比旧密钥差，我们可以这样做：

    mv devuan-devs.gpg.1 devuan-devs.gpg

    当然，我们可以创建一些脚本，然后使用一些非常粗略的启发式方法来解释gpg输出，用新密钥更新旧密钥。但是我们真的可以确定这个过程确实是正确的，并且我们真的不会因为一些我们忘记实施的边缘情况而被欺骗吗？
    谈到安全性，如果这不是基于 100% 的保证，那么自己做某事是一件非常糟糕的事情。 gpg可能会改变输出，或者有人可能会发明一些漏洞利用。两者都可能欺骗脚本以查看不存在的某些身份。
    问题不是很确定。我们已经很确定没有人入侵 Devuan，因此那里的密钥是真实的，对吧？但是我们仍然想要摆脱这个肮脏的小不确定性。所以用某种虚假的安全感代替我们知道的一个不确定性（我们知道 Devuan 可能被黑客入侵，但其他人有一天会发现）正确，因为它基于未经验证的假设）实际上是安全性的倒退！
    通过添加一些晦涩、未经证实和不可靠的脚本来提高复杂性对安全性没有帮助。安全性是可以生活且易于应用的东西。如果它变得太复杂，安全性就会失败。总是。

    • 1
  2. Best Answer

    不幸的是，似乎没有更好的方法来验证图像：

    • 所有涉及的文件都通过同一渠道下载；
    • 用于签署SHA256SUMS文件的密钥在之前的 Devuan 版本中不可用；
    • 密钥环中提供的密钥未由任何其他密钥签名；
    • 发布到密钥服务器的密钥已签名，但它不在强集中，并且没有任何签名来自先前 Devuan 版本的密钥环中的密钥。

    相同的密钥可从密钥服务器和已发布的密钥环中获得这一事实可能被解释为提供了更多保证，但我不确定它是否确实如此，因为我们仍然不知道所有者是合法的 Devuan 发布签名者。

    • 0

相关问题