github：PGP密钥用法标志不允许签名

Question

我已使用我的OpenPGP密钥签署git提交，但它在github上显示为“未验证”：https://github.com/cweiske/jsonmapper/commits/master

  

签署此密钥的密钥的使用标记不允许签名。

     

GPG密钥ID：14C85A0824EAF823

github gpg signature docs对此错误一无所知。

所以我的问题：

1. 我如何阅读这些旗帜？
2. 如何更改密钥以允许代码签名？

Answer 1

您可以查看签名功能by either looking at the output of --edit-key or GnuPG's colon-separated output。

查看您的密钥，我看到您有一堆过期的子密钥（一些具有签名功能），以及一个具有签名和认证功能集的主密钥。主键的有效期延长了两次（也考虑在此主题上阅读"Does OpenPGP key expiration add to security?"）。

我在这里看到两个可能的问题：

• GitHub还没有最新的公钥副本。因此，发出签名的密钥不会被视为签名密钥，因为它似乎已过期到GitHub。仍然，错误消息是错误的，GitHub应该告诉你一个过期的密钥。上传密钥的较新副本应该可以解决问题。
• GitHub软件中存在一个错误，当存在签名子密钥时（无论它们是否已过期），它会忽略主键。