碰到一个 gpg 验证的问题

cnux

先祝福大家，新年快乐，如意吉祥！

今天（2008年 02月 08日 星期五 16:32）上  www.mpg123.org (192.67.198.53) 下载了
mpg123 1.2.0源码，在做验证时出现差错：

gpg --verify mpg123-1.2.0.tar.bz2.sig mpg123-1.2.0.tar.bz2
gpg: 于 2008年02月01日 星期五 07时16分53秒 CST 创建的签名，使用 DSA，钥匙号 D446D524
gpg: 完好的签名，来自于“Thomas Orgis <thomas@orgis.org>”
gpg:               亦即“Thomas Orgis (Sobukus) <thomas-ebay@orgis.net>”
gpg:               亦即“Thomas Orgis <thorgis@rz.uni-potsdam.de>”
gpg:               亦即“Thomas Orgis (Sobukus) <thomas-ebay@orgis.org>”
gpg:               亦即“Thomas Orgis <thomas-handel@orgis.org>”
gpg:               亦即“Thomas Orgis <thomas-forum@orgis.org>”
gpg: 警告：这把密钥未经受信任的签名认证！
gpg:       没有证据表明这个签名属于它所声称的持有者。
主钥指纹： 7236 3885 A742 B736 E0C8  9721 9B4C 52BC D446 D524

又做了一下md5sum：
md5sum mpg123-1.2.0.tar.bz2
3a5f7b36cbd8af1ae42a23e6e7a5ab38  mpg123-1.2.0.tar.bz2

请问这个文件是否有问题？你们下载的文件md5sum是这样吗？谢谢

晨想

md5 都是这样的。

至于gpg，你需要 recv 那个 D446D524 才可以。不过你要相信这个key就是这个人的才行。一般主页上都有的。

gpg --recv-keys D446D524  应该就可以的了。

cnux

gpg --recv-keys D446D524了。
相信这个key了

jham

碰到一样的问题， 记录一下
从 http://jakarta.apache.org/site/downloads/downloads_jmeter.cgi
下载  JMeter

jham@nosmoke:~/repo/tomcat$ gpg --verify jakarta-jmeter-2.3.3.tgz.asc
gpg: 于 2009年05月20日 星期三 01时46分26秒 CST 创建的签名，使用 DSA，钥匙号 BCA973AC
gpg: 完好的签名，来自于“Sebastian Bazley (ASF Signing Key) <sebb@apache.org>”
gpg: 警告：这把密钥未经受信任的签名认证！
gpg:          没有证据表明这个签名属于它所声称的持有者。
主钥指纹： 88D5 36D4 3329 1377 4D62  766D 3FE0 C161 BCA9 73AC
jham@nosmoke:~/repo/tomcat$ gpg --recv-keys BCA973AC
gpg: 下载密钥‘BCA973AC’，从 hkp 服务器 keys.gnupg.net
gpg: 密钥 BCA973AC：“Sebastian Bazley (ASF Signing Key) <sebb@apache.org>”未改变
gpg: 合计被处理的数量：1
gpg:              未改变：1
jham@nosmoke:~/repo/tomcat$ gpg --verify jakarta-jmeter-2.3.3.tgz.asc
gpg: 于 2009年05月20日 星期三 01时46分26秒 CST 创建的签名，使用 DSA，钥匙号 BCA973AC
gpg: 完好的签名，来自于“Sebastian Bazley (ASF Signing Key) <sebb@apache.org>”
gpg: 警告：这把密钥未经受信任的签名认证！
gpg:          没有证据表明这个签名属于它所声称的持有者。
主钥指纹： 88D5 36D4 3329 1377 4D62  766D 3FE0 C161 BCA9 73AC