Co dokładnie oznacza BAD podpis?

Aug 15 2020

Około 16 godzin temu pobrałem obraz Ubuntu 18.04.5 z witryny http://releases.ubuntu.com/bionic/wraz z plikiem sum kontrolnych i podpisem GnuPG. Weryfikacja pliku sumy kontrolnej przy użyciu podpisu skutkuje ostrzeżeniem dotyczącym ZŁEGO podpisu. Dlaczego tak się dzieje i czy powinienem się martwić?

Co dokładnie oznacza BAD podpis? Jaki jest następny logiczny krok?

gpg: Signature made Thu 13 Aug 2020 08:02:20 PM +05 
gpg:              using RSA key 843938DF228D22F7B3742BC0D94AA3F0EFE21092 
gpg: BAD signature from "Ubuntu CD Image Automatic Signing Key (2012)
<[email protected]>" [unknown]

Odpowiedzi

1 Zonmi Aug 16 2020 at 03:42

Podpis jest zły, nic nie możesz z tym zrobić. To problem kanoniczny i wygląda na to, że nikt się nie przejmuje. Był o tym post na reddicie, bez reakcji.

W międzyczasie podpis jest tutaj dobry http://cdimage.ubuntu.com/releases/18.04.5/release/ ale zawiera tylko isos serwera.

Następnym logicznym krokiem jest nigdy nie używanie podpisanego oprogramowania ze złym podpisem. Można go było sfałszować.