xác minh chữ ký gpg mà không cần cài đặt khóa

Question

Làm cách nào để xác minh chữ ký gpg (cli hoặc w/nút js) mà không cần cài đặt khóa công khai? tôi có khóa công khai nhưng không muốn thêm khóa vào khóa. Bất kỳ gợi ý nào?

Cảm ơn, Florian

Answer 1

Đây là tập lệnh trình bao mà tôi chỉ sử dụng cho mục đích đó. Nó tạo ra một khóa tạm thời, cài đặt khóa công khai được chỉ định trong nó, chạy lệnh được chỉ định, sau đó xóa khóa tạm thời.

Lưu ý rằng thao tác này sẽ cài đặt khóa từ máy chủ khóa. Nó không phải là khó khăn để tinh chỉnh nó để sử dụng một chìa khóa bạn đã có trên đĩa (và tôi nên thêm một tùy chọn để làm điều đó).

Cập nhật: Xem https://github.com/Keith-S-Thompson/gpg-tmp

#!/bin/sh 

keyid=$1 
shift 
case "$keyid" in 
    ????????) 
     ;; 
    *) 
     echo "Usage: $0 key args..." 1>&2 
     exit 1 
esac 

tmp_keyring=$HOME/$keyid-keyring.gpg 

gpg --no-default-keyring --keyring $tmp_keyring --recv-keys $keyid 
gpg --no-default-keyring --keyring $tmp_keyring "$@" 
rm -f $tmp_keyring 

Nó hoạt động như lệnh gpg, nhưng có một đối số ban đầu thêm quy định cụ thể 8 chữ số key id.

mẫu sử dụng:

$ gpg coreutils-8.9.tar.gz.sig 
gpg: Signature made Tue 04 Jan 2011 07:04:25 AM PST using RSA key ID 000BEEEE 
gpg: Can't check signature: public key not found 
$ gpg-tmp 000BEEEE coreutils-8.9.tar.gz.sig 
gpg: keyring `/home/kst/000BEEEE-keyring.gpg' created 
gpg: requesting key 000BEEEE from hkp server subkeys.pgp.net 
gpg: key 000BEEEE: public key "Jim Meyering <jim@meyering.net>" imported 
gpg: no ultimately trusted keys found 
gpg: Total number processed: 1 
gpg:    imported: 1 (RSA: 1) 
gpg: Signature made Tue 04 Jan 2011 07:04:25 AM PST using RSA key ID 000BEEEE 
gpg: Good signature from "Jim Meyering <jim@meyering.net>" 
gpg:     aka "Jim Meyering <meyering@gnu.org>" 
gpg:     aka "Jim Meyering <meyering@redhat.com>" 
gpg: WARNING: This key is not certified with a trusted signature! 
gpg:   There is no indication that the signature belongs to the owner. 
Primary key fingerprint: 155D 3FC5 00C8 3448 6D1E EA67 7FD9 FCCB 000B EEEE 

Hãy ghi nhớ rằng đây sẽ cho bạn biết hoàn toàn không có gì về sự tin cậy của khóa, nhưng nó hữu ích như là một kiểm tra tính toàn vẹn.

(Tôi tự hỏi có bao nhiêu phím Jim Meyering tạo ra trước khi ông có một điều đó.)

Answer 2

Tôi không cần nhiều, gpg --dry-run (hoặc gpg -n) làm việc cho tôi. Tôi đã chạy gpg 1.4.12 trên Mac thông qua Homebrew, nhưng nó có vẻ là một lựa chọn tiêu chuẩn. Không có ý tưởng làm thế nào nó so sánh với các phương pháp khác được đề cập ở đây.