Co dokładnie oznacza BAD podpis?
Około 16 godzin temu pobrałem obraz Ubuntu 18.04.5 z witryny http://releases.ubuntu.com/bionic/wraz z plikiem sum kontrolnych i podpisem GnuPG. Weryfikacja pliku sumy kontrolnej przy użyciu podpisu skutkuje ostrzeżeniem dotyczącym ZŁEGO podpisu. Dlaczego tak się dzieje i czy powinienem się martwić?
Co dokładnie oznacza BAD podpis? Jaki jest następny logiczny krok?
gpg: Signature made Thu 13 Aug 2020 08:02:20 PM +05
gpg: using RSA key 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg: BAD signature from "Ubuntu CD Image Automatic Signing Key (2012)
<[email protected]>" [unknown]
Odpowiedzi
Podpis jest zły, nic nie możesz z tym zrobić. To problem kanoniczny i wygląda na to, że nikt się nie przejmuje. Był o tym post na reddicie, bez reakcji.
W międzyczasie podpis jest tutaj dobry http://cdimage.ubuntu.com/releases/18.04.5/release/ ale zawiera tylko isos serwera.
Następnym logicznym krokiem jest nigdy nie używanie podpisanego oprogramowania ze złym podpisem. Można go było sfałszować.