Cosa ti serve?
GnuPG, l'installatore, la firma .asc corrispondente, la chiave pubblica CH-J e un'impronta digitale di fiducia indipendente.
Procedura
- Scegli la tua piattaforma nella pagina dei rilasci. Nei dettagli, scaricare il pacchetto, la sua firma .asc corrispondente e la chiave pubblica di firma.
- Mostrare l'impronta digitale con il comando sottostante. Confrontarlo attraverso un canale indipendente di fiducia; scaricare una chiave accanto a un pacchetto non ne stabilisce l'identità.
- Importa la chiave verificata ed esegui gpg --verify con il nome esatto del file firma e pacchetto. Controllare il risultato e l'identità della chiave di firma.
- Confronta anche la SHA-512 completa con il catalogo. Non eseguire il file se la sua firma non funziona o i checksum differiscono.
Aggiornamento dell’applicazione e repository APT — chiave esistente
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Chiave OpenPGP pubblica · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Firma dei pacchetti .deb durante la compilazione — nuova chiave separata
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Chiave OpenPGP pubblica · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Chiave OpenPGP pubblica · Rilascia archivio
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Scarica il pacchetto e il suo file .asc dagli stessi dettagli di rilascio. Controllare l'impronta digitale della chiave pubblica attraverso un canale indipendente di fiducia, importare la chiave e eseguire gpg --verify. Quindi confronta la SHA-512 completa con il catalogo. Non eseguire il file se la verifica non riesce o i valori differiscono. Sostituisci <file> con il nome del file.
Limitazioni e risultati del controllo
Una firma valida verifica il file rispetto a quella chiave. Stabilire la fiducia nella chiave è un passaggio separato; il solo messaggio «Good signature» non è sufficiente.
OpenPGP non sostituisce una firma dell'editore Windows o la notarizzazione di Apple. I pacchetti Alpha possono attivare avvisi del sistema operativo.
È disponibile una versione di sviluppo Alpha e Beta. Prima di utilizzarlo su sistemi importanti, rivedere le limitazioni delle singole caratteristiche e preparare i backup.
