Lenny-Signatur verifizieren ???

[Odysseus24]

Hallo !

Ich würde gerne die md5sums.sign überprüfen; die signatur zum file mit den md5sums der 5 Lenny-DVDs - möglichst bevor ich upgrade. Kennt jemand den öffentlichen schlüssel des Debian-projekts bzw. den öffentl. key, mit dem diese signatur verifiziert werden kann ?

Ich wollte eigentlich nur upgraden heute, doch seit 12 Uhr suche ich mir hier den wolf...

Odysseus24

[tex]

Die ist mit dem Archive Signing Key signiert, der sollte bei einem etch System installiert sein.

[Danielx]

Die ist mit dem Archive Signing Key signiert

Nein, es wurde der Key von Steve McIntyre verwendet, er hat die Dateien mit seinem eigenen Key signiert.

Die entsprechenden Dateien herunterladen, also MD5SUMS, MD5SUMS.sign und die ISO und dann die die Datei MD5SUMS überprüfen:

1. Möglichkeit:

Code: Alles auswählen

gpg --keyserver subkeys.pgp.net --recv-keys 88C7C1F7
gpg --verify MD5SUMS.sign

2. Möglichkeit:

Code: Alles auswählen

apt-get install debian-keyring
gpg --keyring /usr/share/keyrings/debian-keyring.gpg --verify MD5SUMS.sign

Und danach die MD5-Prüfsumme der ISO überprüfen:

Code: Alles auswählen

md5sum -c MD5SUMS

Gruß,
Daniel

[Odysseus24]

Danke erstmal tex, für die schnelle antwort...

Habe mir jetzt die beiden public keys
"Debian Archive Automatic Signing Key" für Etch und Lenny vom keyserver hkp://hkpkeys.pgp.net importiert - leider ohne erfolg:

Code: Alles auswählen

Juwe@HAL-9000:/mnt/hdb1/Lenny$ gpg --verify MD5SUMS.sign MD5SUMS.htm
gpg: Signature made So 15 Feb 2009 08:51:00 CET using DSA key ID 88C7C1F7
gpg: Can't check signature: public key not found

(als user "root" passiert dasselbe")

Über welches packet wird der Archive Signing Key denn installiert bzw. wie bringe ich pgp dazu, diesen auch zu verwenden ?

Odysseus24

[Danielx]

Huhuuuu, hast du meinen Beitrag übersehen?

Gruß,
Daniel

[Lohengrin]

Man sollte auch noch den Schlüssel authentifizieren. Bei den über tausend Unterschriften sollte das aber möglich sein.

[Odysseus24]

Ah, jetzt hab ichs; thx für den tip, danielx !

"Good Signature" war das signal, auf das ich gewartet habe; dann kann ich ja jetzt loslegen mit dem upgrade (fürchte, es wird eine lange nacht

Odysseus24