如何验证Linux tarball的完整性？

Question

来自https://www.kernel.org/的Linux发行版tarballs可以通过签名文件.sign进行验证。网站或tarball的README中没有关于如何验证tarball的信息。为确保正确性，请使用该方法验证tarball。

- Kalle Richter

Answer 1

以下内容来自kernel.org网站上Linux内核发布的PGP签名说明。其中部分内容如下：首先（仅一次），安装公钥，如下所示：

$ gpg --keyserver hkp://keys.gnupg.net --recv-keys 6092693E

然后，您可以验证签名，例如：

$ xz -cd linux-3.1.5.tar.xz | gpg --verify linux-3.1.5.tar.sign -

预期输出结果类似于：

gpg: Signature made Fri 09 Dec 2011 12:16:46 PM EST using RSA key ID 6092693E
gpg: Good signature from "Greg Kroah-Hartman
     (Linux kernel stable release signing key) <[e-mail]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 647F 2865 4894 E3BD 4571  99BE 38DB BDC8 6092 693E

- Elliott Frisch

---

使用短密钥ID（8个十六进制数字）是危险的。在野外有许多重复项，例如称为“Totally Legit Signing Key [e-mail]”的东西，用于Greg的密钥。重复项当然是虚假的。始终使用完整的指纹“...-recv-keys"85C6 0099 3043 CE5B E21A D7F9 B034 4703 6092 693E"`。 - Uwe Geuder