Hvad du har brug for
GnuPG, installationsprogrammet, matchende .asc signatur, offentlig CH-J nøglen og en uafhængigt betroede forventede nøgle fingeraftryk.
Procedure
- Vælg din platform på udgivelsessiden. I detaljerne, downloade pakken, dens matchende .asc signatur og den offentlige signering nøgle.
- Vis nøglen fingeraftryk med kommandoen nedenfor. Sammenlign det gennem en uafhængig betroet kanal; downloade en nøgle sammen med en pakke ikke etablere sin identitet.
- Importér den verificerede nøgle og kør gpg --verify med de nøjagtige signatur- og pakkefilnavne. Tjek resultatet og identiteten på signaturnøglen.
- Sammenlign også hele SHA-512 med kataloget. Kør ikke filen, hvis dens signatur fejler eller checksums er forskellige.
Appopdatering og APT-arkiv — eksisterende nøgle
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Offentlig OpenPGP- nøgle · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Signering af .deb-pakker under bygning — ny separat nøgle
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Offentlig OpenPGP- nøgle · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Offentlig OpenPGP- nøgle · Udgivelsesarkiv
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Download pakken og dens .asc-fil fra de samme udgivelsesoplysninger. Tjek den offentlige nøgle fingeraftryk via en uafhængig betroet kanal, importere nøglen og køre gpg --verify. Derefter sammenligne den komplette SHA-512 med kataloget. Kør ikke filen, hvis verifikation mislykkes eller værdier afviger. Erstat <file> med det faktiske filnavn.
Begrænsninger og kontrolresultater
En gyldig signatur verificerer filen mod den pågældende nøgle. At etablere tillid til nøglen er et separat trin; meddelelsen „Good signature“ alene er ikke tilstrækkelig.
OpenPGP erstatter ikke en Windows udgiver signatur eller Apple notarization. Alpha-pakker kan udløse operativsystemadvarsler.
En Alpha og Beta-udviklingsversion er tilgængelig. Før du bruger det på vigtige systemer, gennemgå begrænsningerne af de enkelte funktioner og forberede backups.
