將GPG簽名添加到已簽名的文檔中？

Question

我們希望實施一個需要多人進行數字簽名文檔的工作流程。如果我有多個密鑰在我自己的鑰匙串，我可以做簡單的東西：

gpg --sign -u userid1 -u userid2 filename 

可是我該怎麼辦，如果我有一個已簽名的文件，我想添加簽名？一種解決方案是讓每個人都爲文檔生成分離的簽名，然後將它們全部打包在一個zip文件中，但是開銷要大得多。有沒有更好的辦法？

Answer 1

不需要ZIP壓縮：您可以簡單地在單個文件中連接分離的簽名，並且所有的簽名都將被一個接一個地驗證。

% gpg -b -u $ID1 -o prova.c.sig1 prova.c 
% gpg -b -u $ID2 -o prova.c.sig2 prova.c 
% cat prova.c.sig1 prova.c.sig2 >prova.c.sig 
% gpg prova.c.sig 
gpg: Signature made Mar 1 Set 18:16:09 2009 CEST using RSA key ID $ID1 
gpg: Good signature from "Lapo Luchini <lapo@lapo.it>" 
gpg: Signature made Mar 1 Set 18:16:25 2009 CEST using RSA key ID $ID2 
gpg: Good signature from "Lapo Luchini <lapo@lapo.it>" 

我已經驗證了這個工程，以及有堅韌的ASCII鎧文件，在這種情況下，因爲頭被重複每個簽名，它可能是最好先串聯二進制輸出文件大小是次優簽名和他們的ASCII裝甲整個事情。

我不知道OpenPGP格式是否足夠確定，但我猜你也可能有一個軟件，在給定文件和一些分離簽名的情況下，使用從所有他們，儘管這需要更多的時間來實現（如果可能的話：可能有不同的數據包用於連接和分離的簽名，一個不能在另一箇中轉換，但我敢打賭，數據包只有一種類型）。