如何验证Debian CD映像的完整性？

Question

我想验证使用分离签名SHA512SUMS从http://cdimage.debian.org/debian-cd/8.1.0/i386/iso-cd/下载的文件SHA512SUMS.sign的完整性。我怎样才能获得Debian公钥？什么是正确的密钥服务器？

Answer 1

我发现whonix有更清晰的说明来验证CD映像。 https://www.whonix.org/wiki/Debian

步骤：

1. 打开包含所需CD映像的目录的URL路径。该目录还将包含校验和文件。 （例如，http://cdimage.debian.org/debian-cd/8.3.0/amd64/iso-cd/对于Debian 8.3.0）
2. 下载您的CD映像以及相应的校验和和校验和签名。 （例如，SHA512SUMS和SHA512SUMS.sign）
3. 安装Debian密钥环。 （sudo apt-get install debian-keyring）
4. 验证校验和签名。 （gpg --no-default-keyring --keyring /usr/share/keyrings/debian-role-keys.gpg - 验证SHA512SUMS.sign）只要＆＃34; gpg：好签名＆＃34;包含，您可以忽略＆＃34;此密钥未通过可信签名认证！＆＃34;警告。
5. 验证CD映像是否与校验和匹配。 （sha512sum -c SHA512SUMS）这必须显示＆＃34; debian-8.3.0-amd64-netinst.iso：OK＆＃34;或者您下载的CD映像的等效文件。所有其他图像都有＆＃34;没有这样的文件＆＃34;警告，没关系。

如果（且仅当）您的CD图像检出正常，您已成功验证了图像！

Answer 2

似乎gpg --keyring /usr/share/keyrings/debian-role-keys.gpg --verify SHA512SUMS.sign SHA512SUMS有效