使用 GnuPG 的 Apache/Tomcat 和 Ant 验证

Question

到底怎么可能验证 apache Tomcat 或 ant 的分发签名？我一直在使用 GnuPG，它似乎并没有起到作用，尽管 apache 站点上到处都是警告要先验证文件。

使用 Windows...如果有帮助的话。

步骤:
1) 下载二进制版本.exe/.zip/.asc/KEYS文件
2) gpg --import KEYS
3) gpg --verify *.asc 文件
4)我能得到的最好的是一条信息。说明
“此 key 未经可信签名认证!
没有迹象表明签名属于所有者。” ...和主键指纹。

我认为这不是有效的验证。

Answer 1

不，它是有效的。这只是意味着您没有将 key 标记为可信。安全地这样做很困难(但并非不可能)。

基本上，您需要亲自会见签名者并亲自验证指纹或(可能递归地)信任其他人的此类验证。