Я новичок в этой штуке с PGP. Вот мои вопросы: Проверка
Когда я это делаю, мне выдается сообщение «Этот ключ не сертифицирован доверенной подписью». Есть ли способ сделать так, чтобы ему доверяли, и еще лучше, как это сделать?
[root@dev /]# gpg --verify bind-9.9.4-P2.tar.gz.sha512.asc bind-9.9.4-P2.copiedlink.tar.gz
gpg: Signature made Fri 03 Jan 2014 01:58:50 PM PST using RSA key ID 189CDBC5
gpg: Good signature from "Internet Systems Consortium, Inc. (Signing key, 2013) <codesign@isc.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2B48 A38A E1CF 9886 435F 89EE 45AC 7857 189C DBC5
Управляющий ключ
Я загрузил и сохранил открытый ключ как isc.public.key и импортировал его с помощью следующей команды:
gpg –import isc.public.key
Я уверен, что на нем есть срок годности, поэтому как мне сделать следующее:
Спасибо!
Когда я это делаю, мне выдается сообщение «Этот ключ не сертифицирован доверенной подписью». Есть ли способ сделать так, чтобы ему доверяли, и еще лучше, как это сделать?
«Доверенная подпись» - это подпись ключа, которому вы доверяете, либо потому, что (а) вы лично подтвердили, что он принадлежит лицу, которому, как утверждается, принадлежит, либо (б) потому что он был подписан ключом, который вы доверяете, возможно, через серию промежуточных ключей.
Вы можете изменить уровень доверия ключей, запустив "gpg --edit-key", а затем используя trust команда. Эта секция в руководстве GPG обсуждается доверие к ключам, и его стоит прочитать: хорошая безопасность - это сложно.
Обратите внимание, что предупреждение «Этот ключ не сертифицирован доверенной подписью» в основном означает, что «эта вещь могла быть подписана кем угодно». Я могу создать ключ, который якобы предназначен для «Консорциума Internet Systems, Inc. (Ключ подписи, 2013)», и подписать им все, и GPG с радостью подтвердит, что да, то, что я подписал, было подписано моим ключом. Чтобы избежать этой проблемы, вы, вероятно, загрузите ключ ISC GPG из веб-сайт и либо полностью доверять ему («Я считаю, что этот объект может сертифицировать себя»), либо подписать его своим закрытым ключом, которому вы доверяете. Без надлежащего управления доверительными отношениями с ключами проверка подписи - это в основном театр.
Узнать, когда он истекает?
Бег gpg -k <keyid> покажет вам, когда истечет срок действия данного ключа. Например, я создал ключ, срок действия которого истекает завтра, и gpg -k <keyid> дает мне:
$ gpg -k 0xD4C2B757C3FAE256
pub 2048R/0xD4C2B757C3FAE256 2014-01-26 [expires: 2014-01-27]
uid [ultimate] Test User <testuser@example.com>
sub 2048R/0xE87A56CDCC670D7A 2014-01-26 [expires: 2014-01-27]
Вы можете видеть, что даты истечения срока действия подключей четко обозначены. Обратите внимание, что подключи, используемые для подписи и шифрования, могут иметь даты истечения срока действия, отличные от первичного ключа. Вы можете узнать больше о подключах Вот.
На самом деле, когда я выполняю команду «gpg --verify», GPG сообщает мне, что срок действия импортированного ключа уже истек?
Да, GPG уведомит вас об истечении срока действия ключа. Обратите внимание, что это не обязательно представляет собой проблему: подпись действительна на момент подписания документа.
Обновите ключ. Нужно ли мне удалить ключ и повторно импортировать, когда это произойдет?
Вы должны настроить среду GPG для использования сервера ключей и периодически запускать gpg --refresh-keys. Это обновит все ключи в вашем связке ключей новой информацией с сервера ключей, которая может включать:
Если человек или организация начинают использовать новый ключ, вы просто добавляете его в свою цепочку для ключей - вам не нужно удалять существующий ключ.