Wat je nodig hebt.
GnuPG, het installatieprogramma, bijpassende .asc handtekening, publieke CH-J sleutel en een onafhankelijk vertrouwde verwachte vingerafdruk.
Procedure
- Kies uw platform op de releases pagina. Download in de details het pakket, zijn bijbehorende .asc handtekening en de publieke ondertekeningssleutel.
- Toon de vingerafdruk van de sleutel met het commando hieronder. Vergelijk het via een onafhankelijk vertrouwd kanaal; het downloaden van een sleutel naast een pakket geeft geen identiteit.
- Importeer de geverifieerde sleutel en voer gpg --verify uit met de exacte handtekening en pakket bestandsnamen. Controleer het resultaat en de identiteit van de ondertekeningssleutel.
- Vergelijk ook de complete SHA-512 met de catalogus. Voer het bestand niet uit als de ondertekening mislukt of de controlesums verschillen.
Applicatie-updater en APT-repository — bestaande sleutel
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Openbare OpenPGP-sleutel · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
.deb-pakketten ondertekenen tijdens het bouwen — nieuwe afzonderlijke sleutel
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Openbare OpenPGP-sleutel · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Openbare OpenPGP-sleutel · Release archief
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Download het pakket en het bijbehorende .asc-bestand uit dezelfde releasegegevens. Controleer de vingerafdruk van de publieke sleutel via een onafhankelijk vertrouwd kanaal, importeer de sleutel en voer gpg --verify uit. Vergelijk daarna de volledige SHA-512 met de catalogus. Voer het bestand niet uit als de verificatie mislukt of de waarden verschillen. Vervang <file> door de werkelijke bestandsnaam.
Beperkingen en controleresultaten
Een geldige handtekening verifieert het bestand tegen die sleutel. Vertrouwen in de sleutel vaststellen is een aparte stap; de melding ‘Good signature’ alleen is onvoldoende.
OpenPGP vervangt geen Windows uitgevershandtekening of Apple notarisatie. Alpha-pakketten kunnen waarschuwingen voor het besturingssysteem oproepen.
Een Alpha en Beta-ontwikkelingsversie is beschikbaar. Alvorens het te gebruiken op belangrijke systemen, de beperkingen van individuele functies te herzien en back-ups voor te bereiden.
