Mitä tarvitset
GnuPG, asentaja, yhteensopiva .asc-allekirjoitus, julkinen CH-J-avain ja itsenäisesti luotettava odotettu avaimen sormenjälki.
Menettely
- Valitse alustasi julkaisusivulta. Yksityiskohdissa lataa paketti, sen vastaava .asc-allekirjoitus ja julkinen allekirjoitusavain.
- Näytä avaimen sormenjälki alla olevalla komennolla. Vertaile sitä riippumattoman luotettavan kanavan kautta; avaimen lataaminen paketin rinnalle ei vahvista sen identiteettiä.
- Tuo todennettu avain ja suorita gpg --verify tarkat allekirjoitukset ja pakettien tiedostonimet. Tarkista allekirjoitusavaimen tulos ja henkilöllisyys.
- Vertaile myös kokonaisuutta SHA-512 katalogin kanssa. Älä suorita tiedostoa, jos sen allekirjoitus epäonnistuu tai tarkistussummat eroavat.
Sovelluksen päivitys ja APT-pakettivarasto — nykyinen avain
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Julkinen OpenPGP-avain · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
.deb-pakettien allekirjoitus koonnin aikana — uusi erillinen avain
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Julkinen OpenPGP-avain · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Julkinen OpenPGP-avain · Julkaisuarkisto
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Lataa paketti ja sen .asc-tiedosto samoista julkaisutiedoista. Tarkista julkisen avaimen sormenjälki riippumattoman luotettavan kanavan kautta, tuo avain ja suorita gpg --verify. Vertaa sitten koko SHA-512-arvoa luetteloon. Älä suorita tiedostoa, jos tarkistus epäonnistuu tai arvot eroavat. Korvaa <file> todellisella tiedostonimellä.
Rajoitukset ja tarkastustulokset
Kelvollinen allekirjoitus vahvistaa tiedoston kyseistä avainta vasten. Luottamuksen muodostaminen avaimeen on erillinen vaihe; pelkkä ilmoitus ”Good signature” ei riitä.
OpenPGP ei korvaa Windows-kustantamon allekirjoitusta tai Applen notaaria. Alpha-paketit saattavat laukaista käyttöjärjestelmävaroitukset.
Alpha ja Beta-kehitysversio on saatavilla. Ennen kuin käytät sitä tärkeissä järjestelmissä, tarkista yksittäisten ominaisuuksien rajoitukset ja valmista varmuuskopiot.
