Es fehlen keine Schlüssel für die ISO-Signatur, sondern Schlüssel, die Zertifikate für den Schlüssel ausgestellt haben, der das Image signiert hat.
GnuPG lädt keine anderen Schlüssel rekursiv herunter. Sie müssen dies selbst tun (indem Sie beispielsweise eine Befehlszeile ausführen, die Sie in den Kommentaren vorgeschlagen haben). Beachten Sie jedoch, dass die von anderen Schlüsseln bereitgestellten Zertifikate die Gültigkeit des Schlüssels nicht bereits bestätigen. Es ist sehr einfach, ganze Schlüsselnetzwerke zu generieren, die sogar das reale OpenPGP-Web of Trust imitieren, wie es beim Evil 32- Angriff der Fall ist . Wenn Sie einen Schlüssel durch Überprüfen der Zertifizierungen überprüfen möchten, erstellen Sie immer einen Vertrauenspfad, der an Ihrem eigenen Schlüssel endet (oder an einem anderen Schlüssel, den Sie auf einem anderen Medium überprüft haben, z. B. durch Treffen mit der Person).