求教关于开源软件的数字签名

xiaominghope

一直没搞明白开源代码的数字签名如何使用，如：glibc源码
下载是包含两个文件：
1. tar.gz -- 源码包
2. .sig -- 数字签名

如何使用这个sig文件呢？不签名是不能解压的

请知道的兄弟给个使用示例吧，就用glibc，网上也查了些资料，但一直还是不太明白，感谢

PS：请不要仅回复个“去搜索”之类的;
       .bz2的包是可以解压，但我想知道sig怎么用来验证

再次感谢

xiaominghope

方便兄弟们帮我看问题

给个glibc的链接：

ftp://ftp.gnu.org/gnu/glibc/

预先谢谢各位

mirnshi

gnupg or pgp

xiaominghope

回复 3# mirnshi


    您能说得更详细一些么，我之前也浏览了man gpg，搜了一些方法，但尝试之后只是得到'Bad signature...'类似字样
   
   我不认为是sig文件的问题，应该还是我使用不当，您能用glibc给示例一下吗，链接就在上面，谢谢

mirnshi

gpg --verify xxx.sig xxx.tgz

xiaominghope

回复 5# mirnshi


    $ gpg --verify glibc-2.13.tar.gz.sig glibc-2.13.tar.gz
    gpg: Signature made Tue 01 Feb 2011 17:00:21 CST using DSA key ID 6F00984E  
    gpg: BAD signature from "Andreas Schwab <schwab@redhat.com>"

在这之前第一次输入是显示 找不到公钥

然后我用了$ gpg --keyserver=x-hkp://pgp.mit.edu --recv-keys 6F00984E  
之后再次 $ gpg --verify glibc-2.13.tar.gz.sig glibc-2.13.tar.gz

就得到了以上 BAD signature 提示

mirnshi

回复  mirnshi


    $ gpg --verify glibc-2.13.tar.gz.sig glibc-2.13.tar.gz
    gpg: Signature m ...
xiaominghope 发表于 2011-03-18 13:08

需要导入 6F00984E   的公钥

xiaominghope

回复 7# mirnshi


$ gpg --recv-keys 6F00984E
就已经导入公钥了吧？

没有公钥要改是这样的提示吧？
gpg: Can't check signature: public key not found

再次谢谢

xiaominghope

自己顶一下

xiaominghope

再顶一下，谢谢