GnuPGを使ったApache/TomcatとAntの確認

Question

Apache TomcatやAntの配布物の署名を確認するにはどうすればいいですか？私はGnuPGを使用していましたが、最初にファイルを確認するためにApacheサイト全体に警告が表示されるにもかかわらず、このトリックをやっていないようです。

ウィンドウを使用しています...それが役立つ場合。

手順：
1）バイナリバージョンの.exe/.zipファイル/ .ASC /キーが
2ファイルのダウンロード）GPG --import KEYS
3）GPG --verify * .ASCファイル
4）私が得ることができる最高のメッセージです。
"この鍵は信頼できる署名で認証されていません！
署名が所有者に属している兆候はありません。 ...と主キーの指紋。

私はそれが有効な検証ではないと考えます。

Answer 1

いいえ、有効です。それはあなたが信頼できるとマークしていないことを意味します。安全に行うことは困難です（しかし不可能ではありません）。

基本的には、署名者自身に会い、個人的に指紋を検証したり、他人の検証を信頼できるように（再帰的に）する必要があります。