Im Allgemeinen werden Schlüssel in OpenPGP über das Netz des Vertrauens validiert. Hierbei handelt es sich um ein Netzwerk, das aus verschiedenen Schlüsseln und zwischen ihnen erteilten Zertifizierungen besteht. Durch das Befolgen solcher Pfade (als Vertrauenspfade bezeichnet) können Sie den Schlüsselsatz erweitern, dem Sie vertrauen.
Sie benötigen immer eine Art Vertrauensanker: Sie müssen sich sicher sein, welche Schlüssel Sie bereits überprüft haben. Dies geschieht häufig auf Konferenzen, an denen Schlüsselunterzeichner teilnehmen. Sie können auch einigen Servern vertrauen (z. B. basierend auf der Transportverschlüsselung), aber genau dies versuchen Sie nicht .
Neben dem expliziten Vertrauen gibt es auch das Konzept von "TOFU": Vertrauen beim ersten Gebrauch . Ein Angreifer wird kaum in der Lage sein, manipulierte Softwarepakete über verschiedene Vertriebskanäle und lange Zeit bereitzustellen. Versuchen Sie, die Quellen des Schlüssels zu finden, den Sie bereits verwenden (z. B. in einer Linux-Distribution, die Sie vor Jahren abgerufen haben, oder auf alten Computerzeitschriften-DVDs). Gibt es Kopien, die in einer Art Software-Repository gespeichert sind, das nicht direkt dem ursprünglichen Projekt unterliegt? Verzeichnet archive.org seit Jahren den OpenPGP-Schlüssel? Fragen Sie Freunde, ob sie Spuren der Schlüssel haben. Die meisten Linux-Distributionen enthalten eine ganze Reihe von Schlüsseln, die zum Signieren von Software verwendet werden.
Dies ist nicht einfach zu bewerkstelligen und erfordert viel Arbeit, aber wenn Sie eine Signatur richtig validieren möchten, gibt es keinen anderen Weg.