> А как понять какие из ключей на кейсервере верные (принадлежат разработчикам генты)?

по простому никак, но ключи меняются редко и обычно с анонсами, их айдишки должны легко находиться гуглем не на васян-сайтах, keyservers должно быть много и не все должны быть с публичным доступом.

то есть подменить-поломать придется не только зеркало репо, что как раз довольно просто, но и какой-нибудь keyserver.gentoo.org (разумеется, им придется озаботиться, если еще не) с авторизацией только для своих. Причем так, чтобы никто из, к примеру, имевших уже свои копии ключей, не спалил подмену и не понял шум.

Если что - я как раз сегодня искал очередной убунтин ключ (поубивал бы этих любителей их менять десять раз на дню), он находится.

Вариант перехвата лично твоего траффика с подменой того и другого оставим для криптопараноиков. weboftrust на мой взгляд заканчивается на первом хопе, потому что у меня нет никакой уверенности в пряморукости, внимательности и аккуратности второго. А инфраструктура gpg по каким-то странным причинам напрочь этого не умеет учитывать.