Serviceを読んで理解し、同意したものとみなします。スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。ファイルを一緒に置いておきながら配布するパターンを見かけます。行うには、その公開鍵をどうにかして取得する必要があると考えていますが、この公開鍵の情報はどうやって取得する想定なのでしょうか。通信は信用できないと思っています。送ってしまっては、その情報自体が改竄されえてしまうと考えているからです。いいのでは・・・?と思ったりなどします。trust)という方法を用います。入手手段(経路)としては、以下の2つが考えられます。本人から直接手渡しで入手する。信頼している人が署名した公開鍵を入手する。入手した公開鍵(a)に署名し、信頼度を設定します。trusted)」であれば、それ一つで公開鍵(b)も信頼します。trusted)」であれば、それ一つでは信頼しませんが、複数(個数は設定による)の部分的に信頼する公開鍵(a)で署名されていれば、公開鍵(b)も信頼します。key)」であれば、公開鍵(b)も信頼しません。全てをHTTPSで配布しないのは、サーバーの負荷を抑えるためだと思います。ちなみに、GnuPGはミラーサイトではHTTPやFTPで配布されていますが、公開鍵はHTTPSで配布されています。|5公開鍵のサーバーがあるので、そこから取得できます。これはhttpsではありませんが、それ以前に単に「アップロードされた公開鍵を保存している」だけですから、その公開鍵が正規の発行元のものかどうかはわかりません。その公開鍵が信用できるかどうかは自分で判断することになります。鍵の持ち主のサイトなどに載っている鍵指紋と比較することが多いと思いますが、これは確かに改竄されている可能性があります。それでもInternetArchiveなどのサイトで最近不自然に変更されていないか確認したり、別回線からアクセスしてみたり、その人が署名した別の信頼できるコンテンツを探してみたりすることで、ある程度調査をすることは可能です。公開鍵そのものと併せて「ある公開鍵に対して第三者が行った署名」も公開されていますから、それを辿って行って、例えばLinusの鍵で署名されたAさんの鍵で署名されたBさんの鍵はLinusの鍵並みに信用できそうだ、といった判断の仕方もできます。ちなみにGNUプロジェクトの場合、公開鍵はGNUプロジェクトのFTPでも配布されています。いいのでは・・・?署名なしのパッケージをhttpsで配布するだけでは、サーバー上でのファイルの改竄や破損を検知することはできません。よって署名の存在意義は残りますが、どうせ署名を検証するんだったらサーバーに負荷をかけるhttpsでパッケージをダウンロードさせなくてもいいでしょう。信頼できるURLからhttpsで公開鍵をダウンロードするというのは、Debian系のAPTなんかでやっていることですね。的には取得の方法にあまり関心はなく、あまり確証を持てない方法で取得した際にどうそれを担保まするか、に関心があるツールだと理解しました。かぎ一覧を取得できることがわかりました。|回答スタック・オーバーフローに参加してくれて、ありがとうございます!質問の回答を共有してください。回答を説明し、自分の検討結果も共有してください。意見を述べること(意見を述べるなら、参照リソース、自分の経験で意見をサポートしてください)さらにサポートが必要な場合このヘルプを参考してください。“回答を投稿”をクリックすることで利用規約、プライバシーポリシー、及びクッキーポリシーに同意したものとみなされます。タグが付いた他の質問を参照するか、自分で質問をする。質問のフィードこのRSSフィードを購読するには、このURLをコピーしてRSSリーダーに貼り付けてください。