Linux商业产品如何安全分发PGP公钥？

一、公钥安全分发的通用方案 #

针对GPG自签名密钥缺乏信任链的问题，商业开发者可以通过以下几种方式让客户确认公钥的真实性：

1. 优先分发公钥指纹而非公钥本身 #

公钥本身可能被中间人篡改，但公钥指纹是公钥的短哈希值（通常是40位十六进制字符串），难以伪造。你可以通过多种不可篡改的渠道公布指纹：

• 印刷在产品实体手册、包装盒上；
• 在官方线下发布会、技术支持沟通中告知客户；
• 在官网的HTTPS页面单独展示（HTTPS依赖X.509信任链，能防止页面被篡改）。

客户获取公钥后，先执行以下命令核对指纹：

# 先模拟导入，查看指纹
gpg --import --dry-run your-public-key.asc
gpg --fingerprint YOUR_KEY_ID

确认输出的指纹和官方公布的完全一致后，再正式导入公钥。

2. 分离公钥与安装包的分发渠道 #

不要将公钥和RPM包打包在一起，而是通过独立的可信渠道分发：

• 在官网的HTTPS单独页面提供公钥下载，同时在该页面醒目位置标注公钥指纹；
• 提交公钥到主流GPG密钥服务器，但必须提醒客户必须核对指纹后再导入——密钥服务器不验证密钥的归属，仅做存储转发。

3. 对接发行版官方信任体系 #

如果你的应用针对特定Linux发行版，可以和发行方合作，将你的公钥纳入发行版的官方信任源：

• 例如让用户通过发行版包管理器添加你的软件源时，自动从发行版可信渠道导入公钥（类似dnf config-manager --add-repo https://your-repo.repo，部分发行版会验证repo文件的签名并自动导入对应公钥）；
• 这种方式依赖发行版本身的X.509信任链，用户无需手动验证公钥，体验更顺畅。

二、Web of Trust（WoT）的适用场景 #

WoT在商业桌面应用场景中更适合作为补充方案，而非核心信任机制：

• 对于专业用户或合作伙伴群体，你可以让公司核心成员、可信合作伙伴的GPG密钥对你的公钥进行签名。当这些用户导入你的公钥后，若他们已信任签名者的密钥，GPG会自动识别你的公钥的可信度；
• 对于普通桌面用户，WoT的门槛较高——他们通常不会维护自己的可信密钥网络，因此无法通过WoT直接建立对你公钥的信任。此时WoT可作为专业用户的额外验证手段，普通用户仍需依赖前面的渠道验证公钥。

验证RPM签名的示例 #

客户导入可信公钥后，可通过以下命令验证RPM包的签名：

rpm -K your-app.rpm

输出中若出现pgp: OK，则说明签名验证通过，包未被篡改。

内容的提问来源于stack exchange，提问作者fhcat