От какво се нуждаеш?
GnuPG, инсталатора, съвпадащ .asc подпис, публичен CH-J ключ и независим надежден ключов отпечатък.
Процедура
- Изберете вашата платформа на страницата за публикации. В детайлите, изтеглите пакета, неговото съвпадение .asc подпис и публичния ключ за подписване.
- Показване на ключовия отпечатък с командата по- долу. Сравнете го чрез независим доверен канал; изтеглянето на ключ заедно с пакет не установява неговата идентичност.
- Импортирайте проверения ключ и стартирайте gpg --verify с точните подписи и имена на пакети. Проверете резултата и самоличността на ключа за подписване.
- Също така сравнете пълния SHA-512 с каталога. Не стартирайте файла, ако подписът му се провали или контролните стойности се различават.
Обновяване на приложението и APT хранилище — съществуващ ключ
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Публичен ключ OpenPGP · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Подписване на .deb пакети при изграждане — нов отделен ключ
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Публичен ключ OpenPGP · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Публичен ключ OpenPGP · Архив за освобождаване
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Изтеглете пакета и неговия файл .asc от едни и същи данни за изданието. Проверете отпечатъка на публичния ключ чрез независим доверен канал, импортирайте ключа и изпълнете gpg --verify. След това сравнете пълната стойност SHA-512 с каталога. Не стартирайте файла, ако проверката е неуспешна или стойностите се различават. Заменете <file> с действителното име на файла.
Ограничения и резултати от проверките
Валидният подпис потвърждава файла спрямо този ключ. Установяването на доверие в ключа е отделна стъпка; само съобщението „Good signature“ не е достатъчно.
OpenPGP не заменя подписа на издателя Windows или нотариализацията на Apple. Пакетите Alpha могат да задействат предупрежденията на операционната система.
Предлага се версия за разработка на Алфа и Beta. Преди да го използвате на важни системи, прегледайте ограниченията на отделните функции и подгответе резервни копия.
