github：PGP密钥使用标志不允许签名

Question

我已经使用我的OpenPGP密钥来签署git提交，但它在github上显示为“未验证”：https://github.com/cweiske/jsonmapper/commits/master

签署此密钥的密钥的使用标志不允许签名。

GPG密钥ID：14C85A0824EAF823

github gpg signature docs对这个错误一无所知。

所以我的问题：

1. 我该如何阅读这些旗帜？
2. 如何更改密钥以允许代码签名？

Answer 1

你可以看看你的签名能力by either looking at the output of --edit-key or GnuPG's colon-separated output。

查看您的密钥，我看到您有一堆过期的子密钥（一些具有签名功能），以及一个具有签名和认证功能集的主密钥。主键的有效期延长了两次（也考虑在这个问题上阅读"Does OpenPGP key expiration add to security?"）。

我在这里看到两个可能的问题：

• GitHub还没有最新的公钥副本。因此，发出签名的密钥不会被视为签名密钥，因为它似乎已过期到GitHub。仍然，错误消息是错误的，GitHub应该告诉你一个过期的密钥。上传密钥的较新副本应该可以解决问题。
• GitHub软件中存在一个错误，它使签名子密钥存在时忽略主键（无论它们是否已过期）。