gpg が分離された署名の正当性を確認するときに、誤って正当であると示す方法があります。それは、分離された署名が以下のようなコマンドで確認されるときです: gpg --verify detached.sig < mydata
もし、誰かが detached.sig を署名された文章 (分離された署名ではなく) に置き換えると、 mydata が変更されても、 gpg は置き換え前と同様に署名の確認が成功したと報告します。
この問題を修正するために、 --verify オプションがどのように働くかが変更されました: 現在では分離された署名を確認するのに 2 つのオプションが必要です: 片方は分離された署名ファイルで、もう 1 つは確認されるデータが入ったファイルです。この変更が過去のバージョンとの互換性を失わせることに注意してください。
Florian Weimer が、 gpg が秘密鍵を鍵サーバから取り込む可能性があることを発見 しました。 gpg が、公開鍵を既知の信用されている秘密鍵と符合すると判断すると、 攻撃者は Web 認証を回避することができます。
この問題を修正するために、 gpg に秘密鍵を取り込むことを許可する新しいオプシ ョン --allow-key-import が追加されました。