준비물
GnuPG, 설치 프로그램, 해당 .asc 서명, CH-J 공개 키, 그리고 독립적으로 신뢰할 수 있는 예상 키 지문.
절차
- 릴리스 페이지에서 플랫폼을 선택합니다. 세부 정보에서 패키지, 해당 .asc 서명, 서명용 공개 키를 다운로드합니다.
- 아래 명령으로 키 지문을 표시하고, 독립적인 신뢰 채널을 통해 비교하세요. 패키지와 함께 다운로드한 키만으로는 그 키의 신원이 확인되지 않습니다.
- 확인한 키를 가져오고, 정확한 서명 및 패키지 파일 이름으로 gpg --verify를 실행합니다. 결과와 서명 키의 신원을 확인하세요.
- 전체 SHA-512도 카탈로그와 비교합니다. 서명 검증에 실패하거나 체크섬이 다르면 파일을 실행하지 마세요.
앱 업데이트 및 APT 저장소 — 기존 키
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
OpenPGP 공개 키 · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
빌드 시 .deb 패키지 서명 — 새 별도 키
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
OpenPGP 공개 키 · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
같은 릴리스 세부 정보에서 패키지와 .asc 파일을 다운로드하세요. 독립적인 신뢰 채널을 통해 공개 키 지문을 확인하고, 키를 가져온 뒤 gpg --verify를 실행하세요. 그런 다음 전체 SHA-512를 카탈로그와 비교하세요. 검증에 실패하거나 값이 다르면 파일을 실행하지 마세요. <file>은 실제 파일 이름으로 바꾸세요.
제한 사항 및 결과 확인
유효한 서명은 파일이 해당 키와 일치함을 확인해 줄 뿐입니다. 키에 대한 신뢰를 확립하는 것은 별도의 단계이며, Good signature 표시만으로는 충분하지 않습니다.
OpenPGP는 Windows 게시자 서명이나 Apple 공증을 대신하지 않습니다. Alpha 패키지에서는 운영체제 경고가 나타날 수 있습니다.
Alpha 및 Beta 개발 버전을 사용할 수 있습니다. 중요한 시스템에서 사용하기 전에 각 기능의 제한 사항을 확인하고 백업을 준비하세요.
