Verifikation einer signierten Datei

*.iso / *.asc

1. Datei herunterladen

2. In das Downoladverzeichnis wechseln

$ cd /home/Dein_Username/Downloads

3. den öffentlichen Schlüssel des jeweiligen Entwicklers, der die heruntergeladene Datei erstellt hat, importieren

3.1. z.B. von der Webseite mit

   $ gpg --import heruntergeladener_schlüssel.asc 

3.2. oder von einem Keyserver (Bsp.: FreedomBox):

   $ gpg --keyserver x-hkp://pool.sks-keyservers.net --recv-keys 0x36C361440C9BC971

4. überprüfen des Fingerabdruckes des öffentlichen Schlüssels:

   $ gpg --fingerprint 0x36C361440C9BC971
   pub   4096R/0C9BC971 2011-11-12
         Key fingerprint = BCBE BD57 A11F 70B2 3782  BC57 36C3 6144 0C9B C971
   uid                  Sunil Mohan Adapa <sunil@medhas.org>
   sub   4096R/4C1D4B57 2011-11-12

5. verifizieren des heruntergeladenen Images mit seiner Signatur-Datei .sig. Beispielsweise:

   $ gpg --verify freedombox.img.sig freedombox.img
   gpg: Signature made Thursday 15 January 2015 09:27:50 AM IST using RSA key ID 0C9BC971
   gpg: Good signature from "Sunil Mohan Adapa <sunil@medhas.org>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: BCBE BD57 A11F 70B2 3782  BC57 36C3 6144 0C9B C971

Die Warnung bedeutet lediglich, dass dieser Schlüssel von Dir noch nicht über das WebOfTrust verifiziert wurde. Die Image- Datei ist aber dennoch korrekt.