Привет всем!
Я работаю несколько лет под Арчиком, но никогда раньше не пользовался Имаксом. На прошлой неделе что-то «накатило» - плотно занялся его освоением и попутно Лиспом (куда же без него и Имаксе?).
И вот уже несколько раз попадаются мне предупреждения gpg о неверной подписи или отсутствии ключа и невозможности ее проверить. Крайний раз при установке пакета ORG:
Failed to verify signature org-edna-1.0alpha1.tar.sig:
Bad signature from 474F05837FBDEF9B GNU ELPA Signing Agent <elpasign@elpa.gnu.org>
Command output:
gpg: [don't know]: indeterminate length for invalid packet type 14
gpg: Подпись сделана Вт 30 май 2017 06:05:03 +09
gpg: ключом DSA с идентификатором 474F05837FBDEF9B
gpg: ПЛОХАЯ подпись пользователя "GNU ELPA Signing Agent <elpasign@elpa.gnu.org>" [неизвестно]
Но проблема, похоже, не в Эльпе. Потому что:
$ curl -O https://beta.quicklisp.org/quicklisp.lisp
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
100 57144 100 57144 0 0 28572 0 0:00:02 0:00:02 --:--:-- 21410
[07:29 ib@alzs] ~/files
$ curl -O https://beta.quicklisp.org/quicklisp.lisp.asc
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
100 882 100 882 0 0 882 0 0:00:01 --:--:-- 0:00:01 923
[07:29 ib@alzs] ~/files
$ gpg --verify quicklisp.lisp.asc quicklisp.lisp
gpg: Подпись сделана Чт 29 янв 2015 05:13:26 +08
gpg: ключом RSA с идентификатором 307965AB028B5FF7
gpg: Не могу проверить подпись: Нет открытого ключа
Ладно, думаю. Хоть в мои планы и не входило изучать как работает GPG, тем не менее пробежал по хелпу, полистал маны на оф. сайте. Выяснил - нужно импортировать открытый ключ. Нашел там-же: https://beta.quicklisp.org/release-key.txt. Импортировал... Оно снова матерится, еще страшнее:
$ gpg --verify quicklisp.lisp.asc quicklisp.lisp
gpg: Подпись сделана Чт 29 янв 2015 05:13:26 +08
gpg: ключом RSA с идентификатором 307965AB028B5FF7
gpg: Действительная подпись пользователя "Quicklisp Release Signing Key <release@quicklisp.org>" [неизвестно]
gpg: Внимание: Данный ключ не заверен доверенной подписью!
gpg: Нет указаний на то, что подпись принадлежит владельцу.
Отпечаток первичного ключа: D7A3 489D DEFE 32B7 D0E7 CC61 3079 65AB 028B 5FF7
Что за «танцы с бубнами» на пустом месте? Нахрена вся эта навороченая безопасность с подписями которая не работает, или я чего-то «не догоняю»?
Кто-нибудь знает, в чем причина, и как поступать в таких случаях?
