невозможно GPG проверка подписи

Question

wget https://www.kernel.org/pub/linux/utils/cryptsetup/v1.7/cryptsetup-1.7.3.tar.xz 
wget https://www.kernel.org/pub/linux/utils/cryptsetup/v1.7/cryptsetup-1.7.3.tar.sign 
wget https://www.kernel.org/pub/linux/utils/cryptsetup/v1.7/sha256sums.asc 

shasum проверено: хорошо

gpg --verify cryptsetup-1.7.3.tar.sign cryptsetup-1.7.3.tar.xz 

выход плохо:

gpg: Signature made Sun 30 Oct 2016 01:56:01 PM UTC using RSA key ID D93E98FC 
gpg: BAD signature from "Milan Broz <gmazyland@gmail.com>" 

затем

wget https://www.kernel.org/pub/linux/utils/cryptsetup/v1.7/v1.7.3-ReleaseNotes 
wget https://www.kernel.org/pub/linux/utils/cryptsetup/v1.7/v1.7.3-ReleaseNotes.sign 

gpg --verify v1.7.3-ReleaseNotes.sign v1.7.3-ReleaseNotes 

это хорошо (хотя предупреждение):

gpg: Signature made Sun 30 Oct 2016 01:56:09 PM UTC using RSA key ID D93E98FC 
gpg: Good signature from "Milan Broz <gmazyland@gmail.com>" 
gpg: WARNING: This key is not certified with a trusted signature! 
gpg:   There is no indication that the signature belongs to the owner. 
Primary key fingerprint: 2A29 1824 3FDE 4664 8D06 86F9 D9B0 577B D93E 98FC 

я сделать еще один тест на другом сайте:

wget https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.0.30.tar.bz2 
wget https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.0.30.tar.bz2.sig 

и все хорошо, как хорошо.

Затем я перехожу в блог автора (блог Милана Броза), но ссылка на скачивание приводит к тому же сайту.

я попробовал некоторые предыдущие пакеты и имели один и тот же вопрос:

Cryptsetup-1.7.1.tar.sign с Cryptsetup-1.7.1.tar.gz & Cryptsetup-1.7.1.tar.xz

Cryptsetup-1.7.2.tar.sign с Cryptsetup-1.7.2.tar.gz & Cryptsetup-1.7.2.tar.xz

Если я пропускаю что-то здесь, плз скажите мне, что. В противном случае, есть ли место, где я могу иметь правильно подписанную версию этого программного обеспечения?

thanx people.

Answer 1

Есть ли место, где я могу иметь правильно подписанную версию этого программного обеспечения?

Try с официального сайта: https://gitlab.com/cryptsetup/cryptsetup (сейчас - ноябрь 2017, спустя 9 месяцев, в 1.7.5 или 2.0-rc1)

это хорошо (хотя предупреждения):

Предупреждение ожидается. Смотрите «Check PGP Signature and Install Veracrypt 1.17„:

“WARNING: This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner.» означает, что открытый ключ Veracrypt не подписан вами или кем-либо, чей ключ вы подписали, так что нет никакой прямой линии доверия между вами и разработчиками Veracrypt.
Это как ожидается.