Su pregunta se reduce a "cómo puedo construir inicialmente una cadena de confianza". No importa cómo desee verificar la descarga o los pasos individuales (por ejemplo, los certificados X.509 para HTTPs), deberá comenzar a confiar en en algún lugar .
El método de verificación más paranoico sería encontrarse con el autor principal de GnuPG, Werner Koch (y / u otros del equipo central). Pero como aún no lo conoce, considere cómo verificar su identidad (de seguro, una poderosa organización gubernamental podría emitir tarjetas de identificación falsas).
De lo contrario, podría comenzar confiando en la distribución de su sistema operativo para descargar y verificar GnuPG. Tal vez incluso esté ejecutando Linux durante mucho tiempo, y obtuvo copias de muchos lugares diferentes. Esto es "confianza en el primer uso" en el sentido más amplio: usted espera que el primer contacto (las copias más antiguas de Linux) haya sido correcto incluso antes de que se lo considere un objetivo que valga la pena por el gran esfuerzo de tales manipulaciones.
Si no confía en una sola copia (ya que podría ser manipulada), vaya por varios de ellos, repitiendo el paso individualmente. Encontrará los medios de distribución de Linux "como en todas partes": revistas de computadoras en las tiendas, como complemento a los libros de la biblioteca, preguntando a sus amigos. Es muy improbable que un atacante pueda jugar con todos de ellos. Cada vez que alguien amplía el alcance de las manipulaciones, aumentan las posibilidades de ser atrapado.