来自“Debian CD签名密钥”的deb签名<[email protected]>

Question

debian8 lxde iso文件和签名文件已下载。

ls 
debian-8.8.0-amd64-lxde-CD-1.iso SHA1SUMS SHA1SUMS.sign 

检查它的sha1命令。

sha1sum debian-8.8.0-amd64-lxde-CD-1.iso 
28bc1fefa093de96879be36a14b00c4991ce9cec debian-8.8.0-amd64-lxde-CD-1.iso 
grep 'lxde' SHA1SUMS 
28bc1fefa093de96879be36a14b00c4991ce9cec debian-8.8.0-amd64-lxde-CD-1.iso 

两个sha1sum字符串是相同的。

gpg --keyserver keyring.debian.org --recv 6294BE9B 
gpg --verify SHA1SUMS.sign debian-8.8.0-amd64-lxde-CD-1.iso 

发生错误。

gpg: Signature made Mon 08 May 2017 02:28:21 AM CST using RSA key ID 6294BE9B 
gpg: BAD signature from "Debian CD signing key <debian-cd@lists.debian.org>" 

1.为什么从“Debian CD签名密钥”中出现BAD签名？
debian公钥有问题吗？

2.用sha1sum debian-8.8.0-amd64-lxde-CD-1.iso和grep 'lxde' SHA1SUMS得到sha1sum并不是一个聪明的方法，然后通过眼睛比较两个输出字符串。

Answer 1

我在验证debian-8.8 dvd时碰到了同样的问题。

“BAD签名”的消息来自文件SHA *** SUMS中的最后一行，这是一个空行（在我的情况中）。刚刚删除了我的SHA *** SUMS中的空行，一切都很顺利;尝试使用所有SHA1，SHA256，SHA512。这是我们自己的错误，当从“全选”或“ctrl A”复制浏览器中的文件内容时，我们包含空行。

Answer 2

顺便说一句，因为（像我）你似乎并不在乎几乎存在安全隐患，这可能是一个很好的举措（如果你还没有听说过它）：

+）的Debian上隐匿服务：https://bits.debian.org/2016/08/debian-and-tor-services-available-as-onion-services.html

+）根据Tor项目：https://blog.torproject.org/blog/tor-heart-apt-transport-tor-and-debian-onions

所有的最好成绩！