GPG no puede verificar la firma

10

Estaba tratando de recompilar y reconstruir la fuente libevent2 de oneiric en mi servidor natty y tuve un pequeño error con gpg no pudiendo verificar la firma

# dpkg-source -x libevent_2.0.12-stable-1.dsc
gpgv: Signature made Fri Jun 17 07:12:50 2011 PDT using DSA key ID 7ADF9466
gpgv: Can't check signature: public key not found
dpkg-source: warning: failed to verify signature on ./libevent_2.0.12-stable-1.dsc

¿Alguna idea de cómo solucionar esta advertencia?

compiling deb gnupg

— Pedernal
fuente

10

Creo que la solución convencional es instalar las claves GnuPG del paquete Debian Developers :

sudo apt-get install debian-keyring

— ændrük
fuente

Sí, los comandos gpg sugeridos aquí por @enzotib y @Flint no me funcionaron en Ubuntu 14.04, al menos para permitir la validación cuando se ejecuta apt-get source. Pero la instalación del debian-keyringpaquete funcionó, como sugiere @ ændrük.

— fjarlq

10

En primer lugar, debe importar la clave al llavero local como @enzotib le indicó:

gpg --keyserver keyserver.ubuntu.com --recv-keys 7ADF9466

Luego, exporte la clave a sus claves locales de confianza para que sea confiable:

gpg --no-default-keyring -a --export 7ADF9466 | gpg --no-default-keyring --keyring ~/.gnupg/trustedkeys.gpg --import -

— Pedernal
fuente

Esto funciona en Ubuntu 16.04 donde ~/.gnupg/trustedkeys.gpgno existía.

— Stéphane Gourichon

6

Debe importar la clave al llavero local con el siguiente comando:

gpg --keyserver keyserver.ubuntu.com --recv-keys 7ADF9466

Luego, intente nuevamente el comando.

— enzotib
fuente

1

Gracias pero aún no pudo verificar la firma

— Flint

1

@ Flint: está ejecutando como root, por lo que este comando también debe ejecutarse como root, para ir al llavero de root. ¿Ya lo has hecho?

— enzotib

55

¿Hay alguna fuente oficial que documente que este enfoque es seguro? ¿Cómo podría saber que esa 7ADF9466es la clave de firma correcta si no existe en el paquete de llavero? Lo que impide que un hombre en el medio sirva un dscarchivo firmado con una clave diferente (posiblemente incluso una clave diferente con el mismo hash de 32 bits).

— Kasperd