如何使用ASC签名文件验证文件？以OSSEC项目为例求助

别担心，这个问题其实很常见——GPG默认确实会期望签名文件和待验证文件的文件名严格对应，但我们有两种简单的方法绕开这个限制，下面一步步给你讲清楚：

首先得确保本地有OSSEC官方的PGP公钥，不然GPG没法验证签名的合法性。如果还没导入，可以用下面的命令操作：

gpg --keyserver keyserver.ubuntu.com --recv-keys 9E643C37

（注：这个是OSSEC官方目前常用的公钥指纹，你也可以从项目官方渠道确认最新的公钥信息）

当你的待验证文件和.asc签名文件名字不一致时，直接用下面两种方式解决：

方法一：直接在命令里指定待验证文件路径 #

不用修改任何文件名，直接在gpg --verify命令后依次写上签名文件和待验证文件的路径即可，格式如下：

gpg --verify [签名文件路径] [待验证文件路径]

举个实际例子：假设你下载的签名文件是ossec-3.7.0.tar.gz.asc，但把安装包改名为my-ossec-setup.tar.gz，那执行的命令就是：

gpg --verify ossec-3.7.0.tar.gz.asc my-ossec-setup.tar.gz

这样GPG就会明确知道用哪个签名验证哪个文件，不会再纠结文件名是否匹配。

方法二：临时重命名文件（可选） #

如果你觉得指定路径麻烦，也可以把待验证文件临时重命名成签名文件去掉.asc后缀后的名字。比如签名文件是ossec-3.7.0.tar.gz.asc，就把安装包改名为ossec-3.7.0.tar.gz，然后直接运行：

gpg --verify ossec-3.7.0.tar.gz.asc

验证完成后，再把文件改回原来的名字就行。

当你看到类似下面的输出时，就说明文件验证通过了：

gpg: Good signature from "OSSEC HIDS ossec@ossec.net" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 9E64 3C37 3203 4A57 448E 7F7D 753F 5D46 9E64 3C37

其中的警告是正常的——因为你本地没有把这个公钥标记为“完全信任”，只要看到Good signature字样，就说明文件没有被篡改过。

内容的提问来源于stack exchange，提问作者user8897013