De ce ai nevoie
GnuPG, instalatorul, .asc semnătură de potrivire, cheie publică CH-J și o amprentă cheie de încredere independentă așteptată.
Procedura
- Alegeţi platforma pe pagina de lansare. În detalii, descărcați pachetul, semnătura .asca care se potrivește și cheia de semnare publică.
- Afișează amprenta cheii cu comanda de mai jos. Comparați-l printr-un canal independent de încredere; descărcarea unei chei alături de un pachet nu își stabilește identitatea.
- Importă cheia verificată și rulează gpg --verify cu semnătura exactă și numele de fișiere ale pachetelor. Verificați rezultatul și identitatea cheii de semnare.
- De asemenea, comparaţi SHA-512 complet cu catalogul. Nu executați fișierul în cazul în care semnătura sa nu este corectă sau dacă se aplică un checkum diferit.
Actualizatorul aplicației și depozitul APT — cheia existentă
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Cheie publică OpenPGP · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Semnarea pachetelor .deb la compilare — cheie nouă separată
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Cheie publică OpenPGP · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Cheie publică OpenPGP · Arhiva de lansare
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Descărcați pachetul și fișierul său .asc din aceleași detalii ale versiunii. Verificați amprenta cheii publice printr-un canal independent de încredere, importați cheia și rulați gpg --verify. Apoi comparați valoarea SHA-512 completă cu catalogul. Nu rulați fișierul dacă verificarea eșuează sau valorile diferă. Înlocuiți <file> cu numele real al fișierului.
Limitări și rezultate ale verificării
O semnătură validă verifică fișierul față de acea cheie. Stabilirea încrederii în cheie este un pas separat; doar mesajul „Good signature” nu este suficient.
OpenPGP nu înlocuiește semnătura editorului Windows sau legalizarea Apple. Pachetele Alpha pot declanșa avertismente ale sistemului de operare.
O versiune de dezvoltare Alpha și Beta este disponibilă. Înainte de a utiliza pe sisteme importante, revizuiți limitările caracteristicilor individuale și pregătiți backup-uri.
