LRI: Không thể xác minh một hoặc nhiều chữ ký PGP, arch linux

Gần đây tôi đã chuyển sang một bản phân phối dựa trên vòm gọi Manjaro .

Tôi gặp sự cố khi cài đặt một số gói từ kho lưu trữ aur arch

    curl-7.54.0.tar.gz ... Passed
    curl-7.54.0.tar.gz.asc ... Skipped
==> Verifying source file signatures with gpg...
    curl-7.54.0.tar.gz ... FAILED (unknown public key 5CC908FDB71E12C2)
==> ERROR: One or more PGP signatures could not be verified!

Tôi cần làm gì để khắc phục điều này?

— nelaaro
nguồn

Khi bạn có cặp khóa gpg cục bộ, bạn có thể nhập khóa không xác định vào bộ khóa của người dùng cục bộ. Trong trường hợp của tôi, khóa 5CC908FDB71E12C2cần phải được nhập như sau.

$ gpg --recv-keys 5CC908FDB71E12C2
gpg: keybox '/home/user/.gnupg/pubring.kbx' created
gpg: key 5CC908FDB71E12C2: 8 signatures not checked due to missing keys
gpg: /home/aaron/.gnupg/trustdb.gpg: trustdb created
gpg: key 5CC908FDB71E12C2: public key "Daniel Stenberg <daniel@haxx.se>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1

ID khóa -recv-key: Nhập các khóa có ID khóa đã cho từ máy chủ khóa.

Nếu không thành công, bạn có thể cần phải tạo kho khóa / cơ sở dữ liệu gpg cục bộ.

Các bước dưới đây có thể không còn cần thiết vì bước trên bây giờ tạo cơ sở dữ liệu khóa cục bộ cho bạn. Điều này phụ thuộc vào distro của bạn và gpgphiên bản và cấu hình.

Nếu bạn chưa có gpgcơ sở dữ liệu quan trọng cho người dùng cục bộ của bạn.

gpg --generate-key

hoặc là

gpg --full-gen-key

Những gì các tài liệu nói.

   --generate-key
   --gen-key
          Generate  a  new key pair using the current default parameters.  This is the standard command to create a new key.  In addition to the key a revocation certificate is created and stored in the
          ‘openpgp-revocs.d’ directory below the GnuPG home directory.

   --full-generate-key
   --full-gen-key
          Generate a new key pair with dialogs for all options.  This is an extended version of --generate-key.

          There is also a feature which allows you to create keys in batch mode. See the manual section ``Unattended key generation'' on how to use this.

— nelaaro
nguồn

Cái này có an toàn không? Giống như, không thêm khóa ngẫu nhiên bất cứ khi nào bạn phải, đánh bại mục đích ...?

— jcora

@jcora. Các phím này cho phép bạn cài đặt phần mềm bạn muốn. Bạn cần phải quyết định nếu nó an toàn. Đây là các khóa của bên thứ ba xác minh rằng phần mềm họ đã tạo trong AUR thực sự là từ họ. Có khả năng một gói trong AUR hoặc nơi nào đó có mã độc có. Mà đòi hỏi bạn phải tin tưởng rằng người tạo ra gói. Ngoài ra, các khóa xác minh rằng không ai khác đã sửa đổi gói bạn nhận được. Bạn phải đưa ra quyết định và đánh giá rủi ro.

— nelaaro

Tôi đã bối rối vì thông thường các khóa cho các gói AUR đã được tự động đưa vào hệ thống của tôi. Tôi có hiểu lầm gì không?

— jcora

Tôi đang sử dụng bản phân phối Manjor, có lẽ đã lỗi thời và gây ra sự cố cho tôi.

— nelaaro

@EnricoMariaDeAngelis các khóa gpg cục bộ không được khởi tạo, bạn không có vòng khóa chỉ là một tệp lưu trữ danh sách các khóa mà bạn đã nhập / chấp nhận. --full-gen-keyđảm bảo rằng tất cả các tệp được tạo để bạn có thể nhập khóa vào vòng khóa cục bộ.

— nelaaro