Welche Keys braucht es zur Signatur eines Archives
Hallo,
seit dem 6. Juni mag mein mini-buildd das stretch-Archiv nicht mehr.
Ich habe mir daraufhin die Signaturen auf den Release-Files angeschaut
und habe ein paar fragen.
Der mini-buildd lädt herunter:
|http://debian.mirror.example/debian//dists/stretch/Release
|http://debian.mirror.example/debian//dists/stretch/Release.gpg
Wenn ich auf die beiden Dateien manuell mit gpgv drauf schaue:
|2 [17/5077]mh@spinturn:~/tmp $ gpgv Release.gpg Release
|gpgv: Signature made Sa 06 Jul 2019 11:11:39 CEST
|gpgv: using RSA key 126C0D24BD8A2942CC7DF8AC7638D0442B90D010
|gpgv: Can't check signature: No public key
|gpgv: Signature made Sa 06 Jul 2019 11:11:39 CEST
|gpgv: using RSA key 16E90B3FDF65EDE3AA7F323C04EE7237B7D453EC
|gpgv: Can't check signature: No public key
|gpgv: Signature made Sa 06 Jul 2019 11:36:52 CEST
|gpgv: using RSA key 067E3C456BAE240ACEE88F6FEF0F382A1A7B6500
|gpgv: Can't check signature: No public key
|2 [18/5078]mh@spinturn:~/tmp $
Die Keys mit der 126C0D24BD8A2942CC7DF8AC7638D0442B90D010 und
067E3C456BAE240ACEE88F6FEF0F382A1A7B6500 sind "alt", die kennt mein
mini-buildd schon. Nur der Key
16E90B3FDF65EDE3AA7F323C04EE7237B7D453EC ist noch nicht bekannt. Auch
im Paket debian-archive-keyring ist dieser Key nicht enthalten.
Ist es nicht so, dass eine richtige Signatur auf dem Release-File
ausreichend ist? Müssen alle drei verifiziert werden, damit das
Release-File wirklich ernsthaft richtig ist?
Und wo bekomme ich den Key 16E90B3FDF65EDE3AA7F323C04EE7237B7D453EC
her, wenn er noch nicht im debian-archive-keyring ist? Auf den
sks-Keyservern mag ich aus bekannten Gründen
(https://gist.github.com/rjhansen/67ab921ffb4084c865b3618d6955275f)
nicht nachschauen...
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Reply to: