GPG使用公钥验证加密文件签名报错及相关概念咨询

报错原因及修复方案 #

你当前执行的验证命令逻辑错误，gpg --verify不需要直接传入公钥文件作为参数，正确操作流程如下：

• 首先将客户提供的签名公钥导入你的本地GPG密钥环：
  gpg --import path/to/public/key.asc
• 按签名模式选择对应验证命令：
  • 若为分离签名模式（客户单独发送了后缀为.sig/.asc的签名文件），执行命令：
    gpg --verify 签名文件路径 /path/to/encrypted/file
  • 若为内嵌签名模式（签名直接封装在加密文件内），直接执行命令即可：
    gpg --verify /path/to/encrypted/file
    你也可以直接执行解密命令，GPG会在解密过程中自动完成签名校验，同时输出校验结果：
    gpg --decrypt /path/to/encrypted/file > 输出明文文件路径

概念问题解答 #

1. 是否可以使用提供的公钥验证加密文件的签名？
   完全可以。签名的生成逻辑是客户用自己的签名私钥加密文件摘要，你仅需持有对应的签名公钥即可完成验签，不需要接触对方私钥，和你用于解密的公私钥对也没有关联。
2. 如果使用新公钥进行签名/加密，是否需要对应新私钥才能解密？
   • 新公钥仅用于签名：完全不需要新私钥，导入公钥即可完成验签，解密仍使用你原本持有的、和加密公钥对应的旧私钥即可。
   • 客户同时使用该新公钥加密文件：才需要你持有新公钥对应的私钥才能完成解密，否则无法读取文件内容。
3. 使用一个公钥加密、另一个公钥签名的场景是否合规？
   这是GPG的标准用法，完全符合设计规范。加密用收件人的公钥（保证只有收件人能解密读取），签名用发件人的私钥（保证文件来源合法、未被篡改），两套密钥独立运行是行业通用的操作逻辑。

内容的提问来源于stack exchange，提问作者user3240544