CH-J Toolspamamahala ng server sa pamamagitan ng SSH
Menu
Mga gabay para sa partikular na gawain →

I-verify ang GPG signature ng isang download

Bago patakbuhin ang isang installer, suriin ang OpenPGP signature nito, ang fingerprint ng key at ang buong SHA-512 checksum.

Ang kailangan mo

GnuPG, ang installer, ang katugmang .asc signature, ang pampublikong key ng CH-J at ang inaasahang fingerprint ng key mula sa isang independiyente at pinagkakatiwalaang source.

Pamamaraan

  1. Piliin ang iyong platform sa pahina ng mga release. Sa mga detalye, i-download ang package, ang katugmang .asc signature at ang pampublikong signing key.
  2. Ipakita ang fingerprint ng key gamit ang command sa ibaba. Ihambing ito sa pamamagitan ng isang independiyente at pinagkakatiwalaang channel; hindi pinatutunayan ng pag-download ng key kasama ng package ang pagkakakilanlan nito.
  3. I-import ang na-verify na key at patakbuhin ang gpg --verify gamit ang eksaktong mga pangalan ng signature at package file. Suriin ang resulta at ang pagkakakilanlan ng signing key.
  4. Ihambing din ang buong SHA-512 sa katalogo. Huwag patakbuhin ang file kung nabigo ang signature o magkaiba ang checksum.

Pang-update ng app at repositoryong APT — kasalukuyang susi

pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453
sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4

Pampublikong OpenPGP key · ch-j-signing-public.asc

gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc

Paglagda sa mga .deb package habang binubuo — bagong hiwalay na susi

pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7
sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640

Pampublikong OpenPGP key · ch-j-deb-signing-public.asc

gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc

Pampublikong OpenPGP key · Archive ng mga release

gpg --show-keys --fingerprint ch-j-signing-public.asc
gpg --import ch-j-signing-public.asc
gpg --verify <file>.asc <file>

I-download ang package at ang .asc file nito mula sa parehong mga detalye ng release. Suriin ang fingerprint ng pampublikong key sa pamamagitan ng isang independiyente at pinagkakatiwalaang channel, i-import ang key at patakbuhin ang gpg --verify. Pagkatapos ay ihambing ang buong SHA-512 sa katalogo. Huwag patakbuhin ang file kung mabigo ang pag-verify o magkaiba ang mga value. Palitan ang <file> ng aktwal na pangalan ng file.

Mga limitasyon at pagsusuri ng resulta

Bine-verify ng wastong signature ang file laban sa key na iyon. Hiwalay na hakbang ang pagtiyak na mapagkakatiwalaan ang key; hindi sapat ang tekstong Good signature lamang.

Hindi pinapalitan ng OpenPGP ang Windows publisher signature o ang Apple notarization. Maaaring magdulot ng mga babala ng operating system ang mga Alpha package.

Available ang Alpha at Beta na bersyon para sa development. Bago ito gamitin sa mahahalagang sistema, suriin ang mga limitasyon ng bawat feature at maghanda ng mga backup.

CH-J Tools – Seksyong Updates: overview ng mga release at pag-verify ng na-download na package.
Seksyong Updates: overview ng mga release at pag-verify ng na-download na package. Halimbawa ng interface ng Alpha 0.1.1 sa wika ng pahinang ito. Maaaring mag-iba ang itsura ayon sa bersyon at setting. Buksan sa buong laki ↗
I-download ang applicationDetalyadong dokumentasyon →