read_signed: log gpg output and error on sign failure

the following gives output of the failed gpg message:
  make examples-signed
  rm -Rf gnupg
  ./tools/tenv sstream-mirror examples-signed/foocloud -vv my.out

Previously the user would be left guessing why that was bad.
Now, the output contains
  failed: gpg --batch --verify -
   out=
   err=gpg: keyblock resource `...': file open error
  ...
  gpg: Can't check signature: public key not found