"GPG 使用給定的公鑰驗證文件和分離的簽名"

Question

我有一個公鑰pubkey.asc<\/code> 。 我還有一個文件file.txt<\/code>及其分離的簽名file.txt.asc<\/code> 。

我想檢查以下步驟：

1. file.txt.asc<\/code>是file.txt<\/code>的簽名<\/li>
2. file.txt.asc<\/code>是使用公鑰pubkey.asc<\/code>的密鑰環中的密鑰創建的<\/li><\/ol>

   我可以使用gpg --verify file.txt.asc file.txt<\/code>進行第一步。 此命令輸出用於創建簽名的公鑰指紋：

   我可以通過運行gpg pubkey.asc<\/code>看到pubkey.asc<\/code>指紋。
   我可以使用此信息並僅檢查指紋是否等於執行第二步嗎？ 如果不是，如何使用給定的公鑰驗證文件簽名？
   我看到了這個<\/a>關於如何驗證簽名是否與公鑰匹配的問題，但它僅在密鑰具有擴展名.gpg<\/code>時才有效，這不是我的情況。
   

Answer 1

OpenPGP 密鑰的指紋是公鑰本身加上一些附加數據的 SHA1 哈希，它唯一地標識密鑰（不包括沖突情況，這對於 OpenPGP 密鑰指紋尚不為人所知）。

所以，是的，看到“由密鑰 [指紋] 制作的良好簽名”就足以依賴於簽名是由上述密鑰制作的事實。