Fehlermeldung Verifizierung Debian 8.2.0 .iso

[Walendrusum]

Hallo!
Ich bekomme immer wieder die Fehlermeldung "falscher Schlüssel" bei der Checksummen Verifizierung. Probiert habe ich es bei den sha256 und sha512 Summen bei 8.2.0-amd64-DVD-1.iso und bei 8.2.0-amd64-lxde-CD1.iso.
Meine importierten Signing Keys sind: 6294BE9B

Code: Alles auswählen

gpg --verify SHA512SUMS.sign
gpg: die unterzeichneten Daten sind wohl in 'SHA512SUMS'
gpg: Unterschrift vom Fr 11 Sep 2015 17:13:32 CEST mittels RSA-Schlüssel ID 6294BE9B
gpg: FALSCHE Unterschrift von "Debian CD signing key <debian-cd@lists.debian.org>"

[habakug]

Hallo!

Wie hast du die Keys denn importiert?

Code: Alles auswählen

$ gpg2 --verify SHA512SUMS.sign
gpg: die unterzeichneten Daten sind wohl in 'SHA512SUMS'
gpg: Signatur vom Fr 11 Sep 2015 17:13:35 CEST mittels RSA-Schlüssel ID 6294BE9B
gpg: Signatur kann nicht geprüft werden: No public key
$ LANG=C gpg2 --keyserver keyring.debian.org --recv-keys 6294BE9B
gpg: key 6294BE9B: public key "Debian CD signing key <debian-cd@lists.debian.org>" imported
gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
gpg: depth: 0  valid:   2  signed:   1  trust: 0-, 0q, 0n, 0m, 0f, 2u
gpg: depth: 1  valid:   1  signed:   0  trust: 0-, 0q, 0n, 0m, 1f, 0u
gpg: next trustdb check due at 2019-09-17
gpg: Total number processed: 1
gpg:               imported: 1
$ gpg2 --verify SHA512SUMS.sign
gpg: die unterzeichneten Daten sind wohl in 'SHA512SUMS'
gpg: Signatur vom Fr 11 Sep 2015 17:13:35 CEST mittels RSA-Schlüssel ID 6294BE9B
gpg: Korrekte Signatur von "Debian CD signing key <debian-cd@lists.debian.org>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B

Gruss, habakug

[Walendrusum]

Das ist ja das ominöse...

Code: Alles auswählen

pub   4096R/6294BE9B 2011-01-05
uid                  Debian CD signing key <debian-cd@lists.debian.org>
sub   4096R/11CD9819 2011-01-05

pub   4096R/64E6EA7D 2009-10-03
uid                  Debian CD signing key <debian-cd@lists.debian.org>

pub   4096R/09EA8AC3 2014-04-15
uid                  Debian Testing CDs Automatic Signing Key <debian-cd@lists.debian.org>
sub   4096R/6BD05CFB 2014-04-15

Die Keys sind importiert. Via Keyserver.

Gruß

[dufty2]

Hab jetzt auch ein wenig rumgespielt.

Die Fehlermeldung

Code: Alles auswählen

$ gpg --verify SHA512SUMS.sign
gpg: assuming signed data in `SHA512SUMS'
gpg: Signature made Fri 11 Sep 2015 05:13:35 PM CEST using RSA key ID 6294BE9B
gpg: BAD signature from "Debian CD signing key <debian-cd@lists.debian.org>"

konnte ich dann reproduzieren, wenn
SHA512SUMS.sign vom debian-8.2.0-amd64-DVD-1.iso-"Verzeichnis" stammte,
SHA512SUMS jedoch aus dem Verzeichnis woraus debian-8.2.0-amd64-lxde-CD-1.iso stammt.

Vielleicht ist Dir das versehentlich passiert?

[Walendrusum]

Sorry Leute, daß ich euch die ganze Arbeit aufgehalst habe! Insbesondere bei dir, dufty2, möchte ich mich entschuldigen!
Ich habe den Fehler gefunden! Es lag an meinem Editor (Kate). Ich hatte eine Textdatei erstellt, die Signatur hinenkopiert und dann die Datei in "SHA512SUMS.sign" umbenannt. Obwohl ich extra aufgepasst habe ist mir dabei doch ein Fehler unterlaufen (Leerzeile oben).

Wie macht man das eigentlich korrekt? Ich meine, Signaturen von Internetseiten in Files umwandeln. Gibt es einen anderen Weg als "copy and paste"?

Was ich auch nicht verstehe ist, wieso eigentlich nur die Checksummen signiert sind und nicht die .iso Dateien?

...ich weiß, Anfängerfragen... Aber ich weiß es halt nicht besser.

[dufty2]

Nullo Problemo

Würde Dir empfehlen, den Link im Browser Deiner Wahl mit rechte Maustast "Link kopieren" und
die Datei selbst dann per Kommandozeilentool runterzuladen, etwa

Code: Alles auswählen

$ wget http://cdimage.debian.org/debian-cd/8.2.0/amd64/iso-dvd/SHA512SUMS.sign

Das kannst Du gleich überprüfen mittels

Code: Alles auswählen

$ file SHA512SUMS.sign 
SHA512SUMS.sign: PGP signature Signature (old)

Wenn Du in dieser Datei dann ganz oben eine Leerzeile einfügst, erhälst Du gleich ein

Code: Alles auswählen

$ file SHA512SUMS.sign 
SHA512SUMS.sign: ASCII text

und damit weisst Du sofort, das es sich nicht (mehr) um eine Signatur handelt.

[Walendrusum]

Cool!

Danke!