O que você precisa
GnuPG, l'installador, que combina .asc signature, clave pública CH-J e una impronta de chave esperada independentemente confiable.
Procedimento
- Escolha a sua plataforma na página de releases. Das detalle, descarregar o paquete, a sua firma .asc coincidente e a chave de firma pública.
- Mostra a impressió da tecla con o comando abaixo. Comparalo a través d'un canal de confiança independente; descarregar una chave ao lado d'un paquete non determina sua identidade.
- Importar a chave verificada e executar gpg --verify com a firma exacta e nomes de ficheiros de pacote. Verificar o resultado e a identidade da chave de firma.
- Comparar também o SHA-512 completo com o catalogo. No erudir o ficheiro se a sua firma falhe o checksums differen.
Atualizador da aplicação e repositório APT — chave existente
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Chave pública OpenPGP · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Assinatura de pacotes .deb durante a compilação — nova chave separada
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Chave pública OpenPGP · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Chave pública OpenPGP · Release ficheiro
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Descarregar o pacote e seu ficheiro .asc a partir dos mesmos detalles de release. Verificar a impressão da chave pública mediante un canal de confiança independente, importar a chave e executar gpg --verify. Então comparar o SHA-512 completo com o catalogo. Non executar o ficheiro se la verificación falha ou valores dififiere. Substituir <file> con o nome de file real.
Limitações e verificação de resultados
Uma assinatura válida verifica o ficheiro em relação a essa chave. Estabelecer confiança na chave é um passo separado; a mensagem «Good signature» por si só não é suficiente.
OpenPGP non substitui una assinatura de editor Windows ou notarizacion de Apple. Pacotes Alpha podem desencadenar advertences sistema operativo.
Uma versão de desenvolvimento Alpha e Beta está disponível. Antes de usá-lo em sistemas importantes, revise as limitações dos recursos individuais e prepare o cópia de segurança.
