Как заставить работать проверку источника apt-get?

do

apt-get install debian-keyring 

to install all debian developer keyrings. It would check after that.

Это именно то, что debian-keyringвам нужно ( .dscпроверяемый файл подписан сопровождающим), но при установке debian-keyringвсе еще требуется выполнить некоторые сантехнические работы, чтобы gpgрассмотреть ключи разработчика (автоматическое рассмотрение их будет червем, что, вероятно, объясняет, почему сантехника не работает). сделано как часть постустановки).

Если это разовое, перепроверьте .dscпосле выборки, используя:

gpg --keyring /usr/share/keyrings/debian-maintainers.gpg --verify *.dsc 

Если вы будете получать несколько, добавьте:

keyring /usr/share/keyrings/debian-maintainers.gpg 

к вашему ~/.gnupg/gpg.conf; с тех пор gpg(и gpgv) будут рассматривать ключи разработчика / сопровождающего для проверки подписи. (Если вы параноик, вы можете использовать его, /usr/share/keyrings/debian-keyring.gpgвключая полных разработчиков, но не сопровождающих.)

Ни один из подходов не сделает ключи действительными, но это, вероятно, то, что вы хотите - если вы получили debian-keyringс помощью правильно настроенного apt-get/ aptitudeи была проверена подпись этого пакета, вы можете иметь разумную уверенность в том, что эти ключи действительно принадлежат разработчикам / сопровождающим.

Важная деталь, отсутствующая здесь, заключается в том, что вам нужен набор ключей sid, а не набор ключей stable, потому что только набор ключей sid несет всех разработчиков. Обратите внимание на /sidследующую строку:

apt-get install debian-keyring/sid 

Чтобы получить, sidвам обычно нужна следующая строка /etc/apt/source.list:

deb http://http.debian.net/debian/ sid main 

(И не забудьте apt-get updateпотом.)

Но будьте осторожны! Если sidсидит в вашей sources.listсистеме, она склонна превращаться sidпротив вашей воли. Чтобы предотвратить это, добавьте строку, /etc/apt/apt.confкоторая выглядит следующим образом:

APT::Default-Release "stable"; 

(Есть множество других способов предотвратить sidэто, это самый простой из известных мне).

Заметки:

• Ключ к этому решению был найден по адресу http://debian.distrosfaqs.org/debian-user/signature-of-wheezys-linux-source-package/
• Прежде чем я нашел это, я наткнулся на тысячи страниц, говорящих вам просто получить недостающий ключ с сервера ключей: никогда не делайте такую ​​глупость, чтобы проверить подпись! Если MitM смог выслать вам поддельный пакет, тот же самый может послать вам поддельный ответ сервера ключей. Следовательно, ключ, извлеченный из сервера ключей, является просто змеиным маслом. (И в контексте безопасности вера в «змеиную нефть», вероятно, самая глупая вещь, которую вы можете сделать.)

Judging from "gpgv: keyblock resource `/root/.gnupg/trustedkeys.gpg': file open error" line, you must be running into gpg's bug. In the end apt-get source runs gpg with --no-option switch. Which fails if no homedir (~/.gnupg) exists. One can remedy this with: gpg -k. More details here.