Проверить подписанный файл с помощью GPG, передавая подпись, размещенную в Интернете, а не сохраненную локально (т.е. в связке ключей)

Question

Можно ли передать URL-адрес подписи GnuPG при выполнении запроса проверки для подписанного файла?

Например, вместо:

gpg --verify file.txt

Есть ли вариация чего-то вроде:

gpg --import example.com/key.sig --verify file.txt

Очевидно, что вы можете импортировать данные с сервера ключей и добавить строку с && за которой следует проверка, но это не совсем соответствует моей цели, поэтому мне интересно, может ли кто-нибудь предложить альтернативы.

Answer 1

Я не совсем уверен, чего вы пытаетесь достичь. Подпись файла не импортируется! Я разделил ответ на две части, в зависимости от того, чего вы на самом деле хотели достичь. Я изменил пример URI, чтобы отразить фактическое использование, но имя файла не имеет значения для GnuPG вообще.

Не импортировать ключ

Когда GnuPG проверяет подписанный файл, он также проверяет действительность ключа. Эта операция требует, чтобы ключ находился в связке ключей.

Если вы не хотите, чтобы ключи проверялись в вашем брелоке , попробуйте использовать другой $GNUPGHOME , используя что-то вроде

export GNUPGHOME=/tmp/gpg-verify
curl http://example.com/key.asc | gpg --import
gpg --verify file.txt
rm -r /tmp/gpg-verify

Проверка по отдельной подписи

Если вы хотите загрузить (отдельную) подпись из URI, используйте curl и отправьте подпись в gpg . От man gpg:

--verify

Предположим, что первый аргумент представляет собой подписанный файл или отдельную подпись, и проверьте его, не генерируя никаких выходных данных. Без аргументов пакет подписи читается из STDIN .

Используемая командная строка будет что-то вроде

curl http://www.example.com/signature.asc | gpg --verify file.txt