rvm安装gpg密钥警告

Question

要安装 rvm，我使用 rvm 网站 (https://rvm.io/rvm/install) 提供的命令来安装 rvm 的稳定版本：

\curl -sSL https://get.rvm.io | bash -s stable --ruby

我有点担心我从 gpg 收到的警告：“没有迹象表明签名属于所有者。”这个gpg是不是有点太挑剔了？主键指纹 (409B 6B17 96C2 7546 2A17 0311 3804 BB82 D39D C0E3) 与 Michal Papis 匹配，因此可以放心。

但是为什么 gpg 会警告“这个密钥没有经过可信签名认证！没有迹象表明签名属于所有者”？这让我想起了证书颁发机构 (CA) 而不是支付 CA，但 gpg 的工作方式是否有所不同？

安装时的输出：

Downloading https://github.com/rvm/rvm/archive/1.26.11.tar.gz
Downloading https://github.com/rvm/rvm/releases/download/1.26.11/1.26.11.tar.gz.asc
gpg: Signature made Mon Mar 30 14:52:13 2015 PDT using RSA key ID BF04FF17
gpg: Good signature from "Michal Papis (RVM signing) <mpapis@gmail.com>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 409B 6B17 96C2 7546 2A17  0311 3804 BB82 D39D C0E3
Subkey fingerprint: 62C9 E5F4 DA30 0D94 AC36  166B E206 C29F BF04 FF17
GPG verified '/Users/MyHome/.rvm/archives/rvm-1.26.11.tgz'

Answer 1

GnuPG 不仅可以验证哈希和，它还可以帮助您验证谁发出了签名。

这一行告诉您，签名是有效的（文件未被篡改）并且是使用某个密钥生成的。

gpg: Good signature from "Michal Papis (RVM signing) <mpapis@gmail.com>"

仅在本地拥有密钥并不能帮助您确定它真正属于谁：

gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 409B 6B17 96C2 7546 2A17  0311 3804 BB82 D39D C0E3

GnuPG 需要从您拥有的密钥到您要验证的密钥的信任路径，类似于 X.509 的信任链（用于 HTTPS ...）。

手动验证密钥的基本方法是将其指纹与 TLS 安全下载页面 (https://rvm.io/rvm/install) 上提供的指纹进行比较，希望它们是相等的（不管是否有空格）之间，这只是为了便于阅读）。这样，您将不得不信任网页，但不必关心相当复杂的 OpenPGP 信任理念。使用 OpenPGP 信任网络来验证密钥所有权，您可能更加确定颁发者，您必须自行决定在验证中投入了多少精力。

Answer 2

没关系。我不认为无论如何您实际上都需要使用 SSL，但如果您按照 rvm 页面上的说明这样做，请确保先添加密钥。

gpg --keyserver hkp://keys.gnupg.net --recv-keys 409B6B1796C275462A1703113804BB82D39DC0E3

\curl -sSL https://get.rvm.io | bash -s stable