Ubuntu系统的软件源验证和GPG签名检查是保障系统安全的核心环节。简单来说，Ubuntu在安装任何软件包时，都会通过GPG密钥验证软件源的真实性和完整性，确保你下载的包没有被篡改或植入恶意代码。如果你的系统出现"NO_PUBKEY"报错、软件源无法更新、或者你怀疑某个第三方源不安全，就需要手动导入GPG密钥、强制开启签名检查，甚至禁用不可信的源。下面我把这套操作从原理到实操全部讲透。
什么是Ubuntu软件源的GPG签名机制
Ubuntu使用APT包管理系统来安装和更新软件。每一个官方软件源（Repository）在发布软件包时，都会用开发者的私钥对包进行数字签名。用户端持有对应的公钥，APT在下载包时会用公钥验签，确认这个包确实来自官方源且内容未被修改。这个机制类似于你收到一封带有防伪印章的信件，印章对得上才说明信是真的。如果签名验证失败，APT会直接拒绝安装并报错，这就是为什么你有时候会看到"The following signatures couldn't be verified"这类提示。
Ubuntu默认的安全策略是什么
从Ubuntu 20.04 LTS开始，APT默认开启了严格的签名检查。也就是说，如果一个软件源没有有效的GPG签名，或者签名密钥过期、缺失，系统会直接阻止从该源安装软件。这是一个非常好的安全默认设置。但在实际使用中，很多用户会添加第三方PPA源、企业内部源或者旧版本系统升级后遗留的问题，导致签名验证失败。这时候你需要手动处理密钥问题，而不是直接关闭安全检查。
如何查看当前系统已有的GPG密钥
在处理任何问题之前，先看看你系统里已经导入了哪些密钥。打开终端执行以下命令：
apt-key list
这个命令会列出所有已信任的GPG密钥，包括密钥ID、过期时间和所属源。如果你看到某个密钥已经过期（expired），就需要更新它。如果列表里根本没有某个源对应的密钥，那就需要手动导入。
另外，Ubuntu 22.04之后推荐使用更现代的密钥管理方式，密钥文件存放在/etc/apt/keyrings/目录下，而不是传统的apt-key环。你可以用这个命令查看：
ls /etc/apt/keyrings/
遇到NO_PUBKEY错误怎么解决
这是最常见的问题。当你执行apt update时，如果某个源的公钥缺失，系统会报类似这样的错误：
W: GPG error: http://ppa.launchpad.net/xxx/ubuntu jammy Release: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY 1234567890ABCDEF
解决方法非常直接，用apt-key命令导入对应的密钥：
sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 1234567890ABCDEF
把1234567890ABCDEF替换成报错信息里显示的实际密钥ID。如果keyserver.ubuntu.com连接不上，可以换用hkp://keys.openpgp.org：
sudo apt-key adv --keyserver hkp://keys.openpgp.org --recv-keys 1234567890ABCDEF
导入成功后再执行apt update，错误就会消失。但要注意，apt-key在新版本Ubuntu中已被标记为deprecated（弃用），更推荐的做法是直接下载密钥文件到keyrings目录。
现代方式：手动下载GPG密钥文件到keyrings
这是Ubuntu 22.04及以后版本推荐的做法。假设你要添加一个第三方源，比如Docker官方源，步骤如下：
第一步，创建keyrings目录（如果不存在）：
sudo mkdir -p /etc/apt/keyrings
第二步，下载该源的GPG密钥并保存为gpg文件：
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
第三步，在sources.list.d目录下创建对应的源文件，并指定signed-by参数：
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list
这种方式比apt-key更安全，因为每个源的密钥独立存放，不会互相干扰，也方便管理和撤销。
如何强制开启GPG签名检查
有些情况下，系统可能因为配置被修改而放松了签名检查。你可以通过APT配置文件强制开启。编辑或创建/etc/apt/apt.conf.d/99-strict-verification文件：
Acquire::AllowInsecureRepositories "false"; Acquire::AllowDowngradeToInsecureRepositories "false"; APT::Get::AllowUnauthenticated "false";
这三行配置的含义分别是：不允许使用不安全的源、不允许降级到不安全源、不允许未认证的下载。保存后执行apt update验证是否生效。如果某个源因为没有签名而被拒绝，说明强制检查已经生效。
如何检查已安装软件包的签名完整性
不仅在下载时要验签，已安装的包也可以事后检查。使用debsums工具可以验证已安装包的MD5校验和是否与官方一致：
sudo apt install debsums sudo debsums --changed
这个命令会列出所有被修改过的包文件。如果你发现系统关键文件被篡改而你没有手动修改过，那就是严重的安全事件。另外，dpkg也可以验证单个包的状态：
dpkg -V
如果输出为空，说明该包完整未被修改。如果出现5个字符的状态码（如SM5d5），每个字符代表不同类型的异常：S是大小变化、M是权限变化、5是MD5不匹配等。
第三方源和PPA的安全风险与应对
PPA（Personal Package Archive）是Ubuntu社区提供的第三方软件源，方便用户获取非官方软件。但PPA的安全性完全取决于维护者。一个被弃用的PPA可能密钥过期，一个恶意PPA可能分发篡改过的包。建议做到以下几点：第一，只添加你信任的PPA，添加前去Launchpad页面确认维护者身份和活跃度；第二，定期清理不再使用的PPA：
sudo add-apt-repository --remove ppa:xxx/yyy
第三，使用ppa-purge工具可以安全地移除PPA并自动降级回官方版本：
sudo apt install ppa-purge sudo ppa-purge ppa:xxx/yyy
企业环境中的软件源签名管理最佳实践
如果你在管理企业级Ubuntu服务器集群，建议搭建内部镜像源（如使用apt-mirror或aptly），并在内部源上配置自己的GPG签名。这样所有服务器只从内部源拉包，既能控制版本又能保证签名可控。具体做法是用gpg生成密钥对，用私钥对内部仓库签名，然后把公钥分发到所有客户端的/etc/apt/keyrings/目录下。同时在服务器端设置HTTPS传输，防止中间人攻击。定期轮换密钥也是必要的，建议每12个月更换一次签名密钥。
常见误区：不要为了方便关闭签名检查
很多新手遇到签名报错后，第一反应是在apt配置里加--allow-unauthenticated或者把AllowInsecureRepositories设为true。这相当于把门拆了让任何人进来。正确的做法永远是找到缺失的密钥并导入，或者确认这个源是否真的可信。如果一个源连GPG签名都不提供，那它本身就不值得信任。关闭签名检查只是把问题藏起来，不是解决问题。
总结与核心操作清单
把上面的内容浓缩成一份操作清单：第一，定期运行apt update观察是否有签名错误；第二，遇到NO_PUBKEY用gpg --dearmor方式导入密钥到/etc/apt/keyrings/；第三，通过/etc/apt/apt.conf.d/配置强制开启签名验证；第四，用debsums和dpkg -V定期检查已安装包的完整性；第五，清理不用的PPA，不要关闭安全检查来图省事。Ubuntu的安全模型本身是扎实的，关键在于你是否正确维护了这套信任链。把每一步做到位，你的Ubuntu系统就能抵御绝大多数软件供应链攻击。
