问题描述：
可能大家都遇到过软件在下载过程中由于网络原因导致下载的软件体积与实际软件体积不符。最常见的办法是对待下载文件附加一个摘要文件。这种做法比较常见，也比较容易实现。但是，还是会有一个问题：如果我篡改了网站，改变了文件的内容，并对该文件做了一次摘要，替换了原有的摘要文件。那用户下载的文件就失去了摘要验证的意义。如何避免这种问题呢？
解决方案：
软件提供者对文件做签名，软件使用者对文件做验证。
签名/验证，是一种用于对网络数据传输有效性鉴别的常见方法，属于非对称加密算法领域。
使用私钥对数据进行签名，使用公钥对数据签名做校验。
在这里的理解可以是，私钥由软件提供者保留，而公钥由软件提供者在网站上公布，并且，该公钥经过更权威认证机构的签名。是不是很想CA审核数字证书的系列流程？其实大同小异，只是这种方式更自由一些，也省去了CA认证的费用。这种开放的数字安全模式有别于我们熟悉的PKI，它属于GunPG/PGP。
实践操作：
用commons-cdec下载为例，上图：
以commons-codec-1.8-bin.tar.gz为例，左边MD5的方式就不说了，看看pgp打开是个什么样的东西。
加有“PGP SIGNATURE”标识的一段BASE64编码的数字签名。
前面说过，要对签名校验，就需要有对应的公钥。那么公钥在那里呢？
就是那个红框的KEYS。
下载公钥：
- wget http://www.apache.org/dist/commons/KEYS
接下来，导入公钥，并对commons-codec-1.8-bin.tar.gz进行签名验证。
- $ gpg --import KEYS
- $ gpg --verify commons-codec-1.8-bin.tar.gz.asc commons-codec-1.8-bin.tar.gz
得到如下提示：
gpg: Good signature from "Gary David Gregory (Code signing key) <ggregory@apache.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 2DB4 F1EF 0FA7 61EC C4EA 935C 86FD C7E2 A112 62CB
gpg: Good signature from "Gary David Gregory (Code signing key) <ggregory@apache.org>"说明这个签名有效。
有个警告，是因为本地密钥库不信任该公钥。
需要对这个公钥签名：
- $ gpg --sign-key A11262CB
- gpg: checking the trustdb
- gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
- gpg: depth: 0 valid: 1 signed: 1 trust: 0-, 0q, 0n, 0m, 0f, 1u
- gpg: depth: 1 valid: 1 signed: 0 trust: 1-, 0q, 0n, 0m, 0f, 0u
- gpg: next trustdb check due at 2014-05-30
- pub 2048R/A11262CB created: 2011-04-12 expires: never usage: SC
- trust: unknown validity: full
- sub 2048R/AD3D7F94 created: 2011-04-12 expires: never usage: E
- [ full ] (1). Gary David Gregory (Code signing key) <ggregory@apache.org>
- "Gary David Gregory (Code signing key) <ggregory@apache.org>" was already signed
- by key 23E8E553
- Nothing to sign with key 23E8E553
- Key not changed so no update needed.
这时候就不会有警告了。