我添加了 Diceware creator 的公钥（请作为实例使用），我通过下载 diceware.wordlist.asc 添加了它，我没有他的密钥，无法立即找到它来导入它到 GnuPG。
所以我即兴创作gpg --verify ~/Desktop/diceware.wordlist.asc。
这表明该文件是由密钥 ID 签名的：AC3184A1（短密钥 ID，我知道……但这就是 gpg 向我展示的内容！）
我接受了它并做到了gpg --recv AC3184A1。我现在有。
如何确保此密钥归 Arnold G. Reinhold 所有？
当然，它会在 gpg 中显示密钥 ID 所有者中的名称，并列出在此处找到的相同指纹。但这些都不是一种值得信赖的验证方式。指纹位于不受信任的页面上，据我所知，它在到达我的电脑之前在传输过程中被更改。并且名称只是我可以使用任何 gpg 客户端复制自己的任意数据。
我记得有一次我导入了某人的密钥，他们告诉我查看“信任网络”签名。我一直在尝试找到该命令，但我无法确定地确定它。我找到了这个命令，我认为它是 WOT 命令：gpg --list-sig AC3184A1如果发出它会产生这个：
pub 1024R/AC3184A1 1995-02-23
uid Arnold G. Reinhold <reinhold@world.std.com>
sig AC3184A1 1995-02-23 Arnold G. Reinhold <reinhold@world.std.com>
sig 5F63A5B9 1995-03-27 [User ID not found]
sig 0959ECA9 1995-12-02 [User ID not found]
sig 0FF98BC9 1997-04-20 [User ID not found]
sig E3EF9085 2001-11-28 [User ID not found]
sig AC48A400 2001-10-22 [User ID not found]
sig 066030C3 2001-11-28 [User ID not found]
sig D782FE45 2002-03-31 [User ID not found]
sig BBD264A6 2004-01-02 [User ID not found]
sig 1 87D1CE0F 2004-03-04 [User ID not found]
但所有这些都是[未找到用户 ID]。
再说一次，我怎样才能确保钥匙是给谁说的呢？
PS。请不要进入 1024 位密钥弱点。我知道这个。
更新：
假设我在这里做的一切都是正确的，并且我发现gpg --list-sig AC3184A1如果发布会产生这个：
pub 1024R/AC3184A1 1995-02-23
uid Arnold G. Reinhold <reinhold@world.std.com>
sig AC3184A1 1995-02-23 Arnold G. Reinhold <reinhold@world.std.com>
sig 5F63A5B9 1995-03-27 [PEOPLE I TRUST@TRUSTED.ORG]
sig 0959ECA9 1995-12-02 [PEOPLE I TRUST@TRUSTED.ORG]
sig 0FF98BC9 1997-04-20 [PEOPLE I TRUST@TRUSTED.ORG]
sig E3EF9085 2001-11-28 [PEOPLE I TRUST@TRUSTED.ORG]
sig AC48A400 2001-10-22 [PEOPLE I TRUST@TRUSTED.ORG]
sig 066030C3 2001-11-28 [User ID not found]
sig D782FE45 2002-03-31 [User ID not found]
sig BBD264A6 2004-01-02 [User ID not found]
sig 1 87D1CE0F 2004-03-04 [User ID not found]
我如何确保 [PEOPLE I TRUST@TRUSTED.ORG] 并非所有人都是伪造的身份？我现在可以制作 [PEOPLE I TRUST@TRUSTED.ORG] 密钥 ID 并发布它，不是吗？
PS：这是我在这个问题中使用的Diceware 列表