Ubuntu软件包签名验证（详解APT如何通过GPG确保软件安全）

为什么需要 GPG 密钥？

GPG 密钥是一对加密密钥：公钥和私钥。仓库维护者用私钥对软件包签名，而你的系统则用对应的公钥来验证签名。如果你的系统没有正确的公钥，APT 就无法验证软件包，会报错如：

W: GPG error: http://example.com/ubuntu focal InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY ABCDEFGHIJKLMNOP  

如何添加缺失的 GPG 公钥？

如果你遇到上述错误，说明系统缺少对应仓库的公钥。以下是修复步骤：

方法一：使用 apt-key（旧方法，已弃用但部分系统仍可用）

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys ABCDEFGHIJKLMNOP  

方法二：推荐方式 —— 将密钥保存到 /etc/apt/trusted.gpg.d/

由于 apt-key 已被弃用（出于安全考虑），官方推荐将密钥单独存放在 /etc/apt/trusted.gpg.d/ 目录中。

# 下载公钥curl -fsSL https://example.com/repo-key.gpg | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/myrepo.gpg# 或者从密钥服务器获取gpg --keyserver keyserver.ubuntu.com --recv-keys ABCDEFGHIJKLMNOPgpg --export --armor ABCDEFGHIJKLMNOP | sudo tee /etc/apt/trusted.gpg.d/myrepo.asc  

验证当前系统信任的密钥

你可以列出所有已信任的 GPG 密钥：

sudo apt-key list  

或者查看 /etc/apt/trusted.gpg.d/ 目录中的文件：

ls /etc/apt/trusted.gpg.d/  

常见问题与最佳实践

• 不要随意添加未知来源的 GPG 密钥：这可能导致恶意软件被当作“可信”安装。
• 定期更新系统：sudo apt update && sudo apt upgrade 可确保你使用最新的安全补丁和密钥。
• 对于第三方仓库（如 Docker、VSCode），务必从其官网获取正确的 GPG 密钥和仓库地址。

总结

Ubuntu软件包签名验证 是保障系统安全的重要机制。通过理解 APT签名验证 原理、掌握 GPG密钥管理 方法，并遵循 Debian包验证 最佳实践，你可以有效防止软件供应链攻击，确保系统稳定与安全。

希望这篇教程能帮助你彻底搞懂 Ubuntu 的软件包验证机制！如有疑问，欢迎在评论区留言交流。