Ответ 1
Почему существуют два типа форматов? - xz и lz
Только для удобства, чтобы люди могли загрузить тот, для которого у них есть соответствующие инструменты, доступные/установленные. Помните, что большинство библиотек "linux" также предназначены для использования на других Unix-подобных платформах (например, BSD, Solaris, AIX, OSX). Нельзя предположить, что более свежие инструменты, такие как xz, легко доступны на каждой платформе.
Мне нужен отдельный служебный пакет?
Да, сообщение об ошибке из tar сообщает вам, что он не может найти команду xz:
tar: xz: Cannot exec: No such file or directory
Вы правильно определили пакет для установки, xz-utils
. Если вы попытаетесь извлечь архив .lz, это будет означать, что он не сможет найти lzip
вместо этого (и вы должны установить пакет lzip).
Там нет большой разницы, lzip - это старый стандарт LZMA, xz - новый LZMA2. Метка "бета" всегда субъективна. В этом контексте я бы не стал беспокоиться!
Почему есть файлы подписи?
Чтобы люди могли убедиться, что загруженный им архив был опубликован человеком, которого они ожидают. Это необходимо для предотвращения возможности того, что хакер может получить доступ к сайту (или зеркалу), а затем добавить вредоносный код в источники в архиве.
Как проверить его?
У вас есть эта команда отлично, но вам нужно понять, что вам нужно рассказать GnuPG, какие ключи вам доверяют. Как правило, вы должны публиковать открытые ключи (обычно .asc или .txt), опубликованные автором (ами) и импортировать их в ваш gpg-ключ. На странице загрузки GnuTLS:
Все выпуски подписаны с Nikos или ключом Simon OpenPGP.
Итак, вы можете сделать что-то вроде:
wget -O- http://josefsson.org/key.txt | gpg --import
wget -O- http://members.hellug.gr/nmav/pgpkeys.asc | gpg --import
Другим способом является то, что люди публикуют только свой идентификатор ключа RSA, который можно импортировать из известных серверов gpg. Например, вы можете импортировать мой открытый ключ следующим образом:
gpg --recv-key 15C4D63E
Для большинства конфигураций gpg по умолчанию, которые должны получить указанный ключ от открытого сервера ключей (возможно, keys.gnupg.net).
Впоследствии gpg должен сообщать "хорошую подпись" от любого из этих авторов, но ожидать, что он все еще должен показать предупреждение:
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Это означает, что нет цепочки доверия (на основе ключей, которые вы отметили как надежные в вашей цепочке), чтобы сказать, что это правильный ключ для указанного человека. Это может быть ключом от хакера.
В какой-то момент вы должны быть уверены в том, что ключ, который вы получаете, исходил от правильного человека, но точно, чему доверять, и когда что-то для каждого человека исследует и решает для себя, исходя из вашего собственного уровня паранойи или текущих целей.
Лично я не хочу проверять исходные архивы, если я не планирую перераспределять что-то из них.