La tua domanda si riduce a "come posso inizialmente costruire una catena di fiducia". Indipendentemente da come si desidera verificare il download oi singoli passaggi (ad esempio, i certificati X.509 per HTTP), è necessario iniziare a fidarsi di da qualche parte .
Il metodo di verifica più paranoico sarebbe incontrare l'autore principale di GnuPG, Werner Koch (e / o altri del team principale). Ma poiché non lo conosci ancora, pensa a come verificare la sua identità (di sicuro, una potente organizzazione governativa sarebbe in grado di emettere carte d'identità falsificate).
Altrimenti, potresti iniziare a fidarti della distribuzione del tuo sistema operativo per il download e la verifica di GnuPG. Forse utilizzerai Linux per un lungo periodo di tempo e recupererai le copie da molte posizioni diverse. Questa è "fiducia al primo utilizzo" nel senso più ampio: ci si aspetta che il primo contatto (copie più vecchie di Linux) sia andato benissimo prima ancora che tu possa essere considerato un bersaglio degno del vasto sforzo di tali manipolazioni.
Se non ti fidi di una singola copia (come potrebbe essere manipolata), vai per più di esse, ripetendo il passo individualmente. Troverete i media di distribuzione Linux "un po 'ovunque": riviste di computer nei negozi, come aggiunta ai libri di biblioteca, chiedendo ai vostri amici. È molto improbabile che un aggressore sia in grado di giocherellare con tutti di loro. Ogni volta che qualcuno allarga la portata delle manipolazioni, aumentano le possibilità di essere scoperti.