Lo que necesitas
GnuPG, el instalador, con la firma .asc, la clave pública CH-J y una huella digital de clave esperada de confianza independiente.
Procedimiento
- Elija su plataforma en la página de versiones. En los detalles, descargue el paquete, su firma .asc correspondiente y la clave de firma pública.
- Muestra la huella de la clave con el comando de abajo. Compáralo a través de un canal independiente de confianza; descargar una clave junto con un paquete no establece su identidad.
- Importar la clave verificada y ejecutar gpg --verify con la firma exacta y los nombres de archivo del paquete. Compruebe el resultado y la identidad de la clave de firma.
- También compare el SHA-512 completo con el catálogo. No ejecute el archivo si su firma falla o las sumas de verificación difieren.
Actualizador de la aplicación y repositorio APT — clave existente
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Tecla OpenPGP pública · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Firma de paquetes .deb durante la compilación — nueva clave independiente
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Tecla OpenPGP pública · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Tecla OpenPGP pública · Publicar archivo
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Descargue el paquete y su archivo .asc desde los mismos detalles de la versión. Compruebe la huella digital de la clave pública a través de un canal independiente de confianza, importe la llave y ejecute gpg --verify. A continuación, compare el SHA-512 completo con el catálogo. No ejecute el archivo si falla la verificación o los valores difieren. Reemplazar <file> con el nombre de archivo real.
Limitaciones y resultados de la comprobación
Una firma válida verifica el archivo con esa clave. Establecer la confianza en la clave es un paso aparte; el mensaje «Good signature» por sí solo no es suficiente.
OpenPGP no reemplaza una firma de editor Windows o la notarización de Apple. Los paquetes Alpha pueden activar advertencias del sistema operativo.
Una versión de desarrollo Alfa y Beta está disponible. Antes de usarlo en sistemas importantes, revise las limitaciones de las características individuales y prepare copias de seguridad.
