摘要：在簽名操作中，首先對信息進行取散列值的操作，然后使用信息發(fā)送者的私鑰加密這個散列值，獲得一個數(shù)字簽名，并將簽名和原信息一同發(fā)送。

來自 簡書
btc address: 1FmWXNJT3jVKaHBQs2gAs6PLGVWx1zPPHf
eth address: 0xd91c747b4a76B8013Aa336Cbc52FD95a7a9BD3D9

了解下 Electrum錢包的釣魚事件

1991年，程序員Phil Zimmermann開發(fā)了加密軟件PGP，被用來加密郵件。這個軟件非常好用，迅速流傳開來，成了許多程序員的必備工具。但是，它是商業(yè)軟件，不能自由使用。所以，自由軟件基金會決定，開發(fā)一個PGP的替代品，取名為GnuPG。這就是GPG的由來。
簽名：是為了接收方能夠確認信息確實來自信息所聲稱的發(fā)送方，并且沒有在傳遞過程中被第三方修改。在簽名操作中，OpenPGP 首先對信息進行取散列值的操作，然后使用信息發(fā)送者的私鑰加密這個散列值，獲得一個數(shù)字簽名，并將簽名和原信息一同發(fā)送。接收方的 OpenPGP 軟件也根據(jù)協(xié)議計算信息的散列值，并用信息發(fā)送者的公鑰解密數(shù)字簽名中的散列值信息，能解密就說明信息的發(fā)送者確實是預(yù)想的發(fā)送方，而兩個散列值比對，就能確定信息并未被篡改。

sudo apt-get install gnupg

下載文件 https://bitcoin.org/bin/bitco...

文件內(nèi)容是這樣的

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

5659c436ca92eed8ef42d5b2d162ff6283feba220748f9a373a5a53968975e34  bitcoin-0.17.1-aarch64-linux-gnu.tar.gz
aab3c1fb92e47734fadded1d3f9ccf0ac5a59e3cdc28c43a52fcab9f0cb395bc  bitcoin-0.17.1-arm-linux-gnueabihf.tar.gz
b1e1dcf8265521fef9021a9d49d8661833e3f844ca9a410a9dd12a617553dda1  bitcoin-0.17.1-i686-pc-linux-gnu.tar.gz
6aa567381b95a20ac96b0b949701b04729a0c5796c320481bfa1db22da25efdb  bitcoin-0.17.1-osx64.tar.gz
e3d785d800b71d277959d15b2c2b33d44dd72c1288e559928a40488dd935c949  bitcoin-0.17.1-osx.dmg
3e564fb5cf832f39e930e19c83ea53e09cfe6f93a663294ed83a32e194bda42a  bitcoin-0.17.1.tar.gz
e9245e682126ef9fa4998eabbbdd1c3959df811dc10df60be626a5e5ffba9b78  bitcoin-0.17.1-win32-setup.exe
6464aa2d338f3697950613bb88124e58d6ce78ead5e9ecacb5ba79d1e86a4e30  bitcoin-0.17.1-win32.zip
fa1e80c5e4ecc705549a8061e5e7e0aa6b2d26967f99681b5989d9bd938d8467  bitcoin-0.17.1-win64-setup.exe
1abbe6aa170ce7d8263d262f8cb0ae2a5bb3993aacd2f0c7e5316ae595fe81d7  bitcoin-0.17.1-win64.zip
53ffca45809127c9ba33ce0080558634101ec49de5224b2998c489b6d0fc2b17  bitcoin-0.17.1-x86_64-linux-gnu.tar.gz
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)

iQIcBAEBCAAGBQJcIeQ5AAoJEJDIAZ42wulk0NoQAIunIBT06bd2IhhxV/48NUvf
sgTto4qYrKuX5Vkn+kfGuMBvNpmILi5CiVtnucWo7fKM6k5IPMyBQuE9iDVDzT9i
YemA9Au8Xy2aIGmVriuQoXxk8b17wAMS9uw362A3nXCz3kA+BWMDuMfBp3P3NPM/
PeOg6n04Q7seO/zNdT5i/ysaFB/XA8szrQxCRukSrXeGMUpv79UbcWOu3+nfGit9
yYo/F2yO57Yacv597rKILlg29QxEVTqa5+slMdwuU7NP5AdAcQV4EtFqoCOqM7C7
JL/zZWYnTywK3l0hOuCBJiY86izutWME5xgm7Eh3ORj+K6ZYT4iXw2JIkTdumeuS
X0WDE3ShH4rb35IaQX75FJLp5R7hLTXiNgng7b8Xhy/62bJ75Ob4HVVSLG1Lkhps
vtml10br+78qXiofzk8zaAW6KaG7G9nbBa0hfDjUEsYzA6P5iWA+53ykupc82HNa
ZT2gk+wWhNhZOd/ANheriM0eqm/ZlK7oydYRRtf9Tamk+XJgREU1x8cWlMZcCPEE
uIUzb7/REvYSjwcwArYLCq/eFPfjQe7jcG2WexnpxxkKJBvu2v4zVw9LLUPll094
BAmfk34iJKhN2cGVhvjO0Q9GKk0B2HzvhD5xn1Hnlp+NbXVNbKonYvkB71D3GY4W
t/eRyv7Erfi4dhHf+8oQ
=UEoM
-----END PGP SIGNATURE-----

gpg --verify SHA256SUMS.asc

# gpg: Signature made 2018/12/25 using RSA key ID 36C2E964
# gpg: Can"t check signature: public key not found

發(fā)現(xiàn)關(guān)鍵信息 RSA key ID 36C2E964

gpg --keyserver hkp://keys.gnupg.net/ --recv-keys 36C2E964

# gpg: requesting key 36C2E964 from hkp server keys.gnupg.net
# gpg: key 36C2E964: "Wladimir J. van der Laan (Bitcoin Core binary release signing key) " not changed
# gpg: Total number processed: 1
# gpg:              unchanged: 1

gpg --verify SHA256SUMS.asc

gpg: Signature made Tue 25 Dec 2018 04:03:05 PM CST using RSA key ID 36C2E964
gpg: Good signature from "Wladimir J. van der Laan (Bitcoin Core binary release signing key) "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 01EA 5486 DE18 A882 D4C2  6845 90C8 019E 36C2 E964

Good signature from ... 說明這個文件是由 Wladimir J. van der Laan 簽發(fā)。

這只是驗證了 SHA256SUMS.asc 文件是由 Wladimir簽發(fā)的，我們還要驗證Bitcoin Core的簽名。

Bitcoin Core軟件是由sha256算法簽名的

sha256sum bitcoin-0.17.1-x86_64-linux-gnu.tar.gz
# 53ffca45809127c9ba33ce0080558634101ec49de5224b2998c489b6d0fc2b17  

把得到的結(jié)果與 SHA256SUMS.asc做對比，如果結(jié)果吻合，可以放心使用

還有另一種方式

sha256sum -c SHA256SUMS.asc
# bitcoin-0.17.1-x86_64-linux-gnu.tar.gz: OK

gpg --list-keys
gpg --delete-key 36C2E964

大家應(yīng)該有意識并且學(xué)會驗證 Bitcoin Core 軟件，當然還有其他的軟件，未被惡意修改。

Don’t Trust, Verify —— 不要相信它，去驗證它。

參考：

https://zhuanlan.zhihu.com/p/...
http://www.ruanyifeng.com/blo...
http://pool.sks-keyservers.net
https://linux.cn/article-4378...
https://superuser.com/a/999312