Door Anoniem: Ik heb even gekeken, maar ik zag niet meteen of je gewoon de hele Ubuntu signing key kon downloaden van een (https) ubuntu.com site . (waarmee je dus je trust baseert op TLS+ goed beheer door Ubuntu ) Ik haal de fingerprint van https://ubuntu.com/tutorials/how-to-verify-ubuntu#4-retrieve-the-correct-signature-key. Deze zit ergens in de tekst. Het is wel een Let's Encrypt certificaat, maar je kunt niet alles hebben. Als Microsoft of Google een Let's Encrypt certificaat voor zoiets zouden gebruiken dan zouden we dat niet accepteren. De PGP sleutel van Ubuntu zal ik idd wel ergens van een keyserver hebben gehaald. Vroeger gebruikte ik altijd die op mit.edu via het web, maar ik geloof niet dat die nog bestaat. Daar kon je ook de Amerikaanse versie van PGP downloaden vroeger. Verder haal ik de SHA256SUMS.txt van twee verschillende mirrors. In verschillende landen. Dat geeft mij een voldoende gevoel van veiligheid. PGP maakte er vroeger een punt van dat je niet de signature op de PGP software ...