必要なもの
GnuPG、インストーラー、対応する .asc 署名、CH-J の公開鍵、そして独立した信頼できる経路で確認した想定どおりの鍵フィンガープリント。
手順
- リリースのページでお使いのプラットフォームを選びます。詳細から、パッケージ、対応する .asc 署名、署名用の公開鍵をダウンロードします。
- 下のコマンドで鍵のフィンガープリントを表示し、独立した信頼できる経路で照合します。パッケージと一緒にダウンロードした鍵だけでは、その鍵の身元は証明されません。
- 確認した鍵をインポートし、署名とパッケージの正確なファイル名を指定して gpg --verify を実行します。結果と、署名した鍵の身元を確認してください。
- 完全な SHA-512 もカタログと照合します。署名の検証に失敗した場合や、チェックサムが異なる場合は、ファイルを実行しないでください。
アプリの更新と APT リポジトリ — 既存の鍵
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
OpenPGP 公開鍵 · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
ビルド時の .deb パッケージ署名 — 新しい独立した鍵
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
OpenPGP 公開鍵 · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
同じリリースの詳細から、パッケージとその .asc ファイルをダウンロードします。公開鍵のフィンガープリントを独立した信頼できる経路で確認し、鍵をインポートして gpg --verify を実行します。その後、完全な SHA-512 をカタログと照合します。検証に失敗した場合や値が異なる場合は、ファイルを実行しないでください。<file> は実際のファイル名に置き換えてください。
制限事項と結果の確認
有効な署名で確認できるのは、ファイルがその鍵と対応していることです。鍵を信頼できるかどうかの確認は別の手順であり、Good signature と表示されるだけでは十分ではありません。
OpenPGP は、Windows の発行元署名や Apple の公証に代わるものではありません。Alpha 版のパッケージでは、OS の警告が表示されることがあります。
Alpha ・ Beta 開発版を提供しています。重要なシステムで使う前に、各機能の制限を確認し、バックアップを用意してください。
