Ce dont vous avez besoin
GnuPG, l'installateur, la signature .asc correspondante, la clé publique CH-J et une empreinte de clé attendue indépendante.
Procédure
- Choisissez votre plateforme sur la page des versions. Dans les détails, téléchargez le paquet, sa signature .asc correspondante et la clé de signature publique.
- Affichez l'empreinte de la clé avec la commande ci-dessous. Comparez-le par un canal de confiance indépendant; télécharger une clé à côté d'un paquet n'établit pas son identité.
- Importer la clé vérifiée et exécuter gpg --verify avec la signature exacte et les noms de fichiers de paquet. Vérifiez le résultat et l'identité de la clé de signature.
- Comparer également le SHA-512 complet avec le catalogue. N'exécutez pas le fichier si sa signature échoue ou si les montants de contrôle diffèrent.
Mise à jour de l’application et dépôt APT — clé existante
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Clé publique OpenPGP · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Signature des paquets .deb lors de la compilation — nouvelle clé distincte
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Clé publique OpenPGP · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Clé publique OpenPGP · Archive de publication
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Télécharger le paquet et son fichier .asc à partir des mêmes détails de publication. Vérifiez les empreintes digitales de la clé publique par un canal de confiance indépendant, importez la clé et lancez gpg --verify. Ensuite, comparez le SHA-512 complet avec le catalogue. N'exécutez pas le fichier si la vérification échoue ou si les valeurs diffèrent. Remplacer <file> par le nom de fichier réel.
Limites et résultats de contrôle
Une signature valide vérifie le fichier par rapport à cette clé. Établir la confiance dans la clé est une étape distincte ; le message « Good signature » seul ne suffit pas.
OpenPGP ne remplace pas une signature d'éditeur Windows ou une notation Apple. Les paquets Alpha peuvent déclencher des avertissements du système d'exploitation.
Une version de développement Alpha et Beta est disponible. Avant de l'utiliser sur des systèmes importants, examinez les limites des caractéristiques individuelles et préparez des sauvegardes.
