Как проверить подпись gpg, учитывая только отпечаток пальца и идентификатор ключа?

Я не знаю где или как получить открытый ключ для gmp, этот фингерпринт проверяя хорош достаточно?

ключ обычно можно получить на публичных серверах ключей на основе его идентификатора или отпечатка пальца.

gpg --recv-key '343C 2FF0 FBEE 5EC2 EDBE F399 F359 9FF8 28C6 7298'

кроме того:

gpg --auto-key-retrieve --verify gmp-6.1.2.tar.lz.sig gmp-6.1.2.tar.lz

сравнивать свой фингерпринт достаточно для того чтобы обеспечить что вы получило правильно ключ.

это, кажется, не очень безопасно, так как я проверяю подпись файла из того же сайт, с которого я скачал файл.

действительно, это не очень безопасно. Вы должны попытаться проверить отпечаток пальца, используя другие средства, например, иногда это часть объявлений о выпуске в архивах списков рассылки; я иногда использую web.archive.org чтобы убедиться, что сайт не изменился в последнее время.

("традиционный" механизм PGP, web of trust, к сожалению, здесь не очень полезен.)

проверка все еще может быть полезной хотя:

• один и тот же ключ используется для подписывания множества релизов. Даже если вы не знаете, чей это ключ, все равно может быть достаточно знать, что это один и тот же ключ, который законно подписывал релизы в течение последних нескольких лет.

• фактическая загрузка может быть размещена на различных зеркальных сайтах. Если Вы доверяете основному веб-сайту проекта, вы можете использовать эту информацию для проверки архивов, загруженных с везде.