То, что тебе нужно
GnuPG, установщик, подходящая подпись .asc, открытый ключ CH-J и независимый доверенный отпечаток ключа.
Процедура
- Выберите платформу на странице релизов. В деталях загрузите пакет, его .asc Подпись и публичный ключ для подписания.
- Показать отпечатки ключа с командой ниже. Сравните его по независимому доверенному каналу; загрузка ключа рядом с пакетом не подсказывает его личность.
- Импортировать проверенный ключ и пропустить gpg --verify с точной подписью и именами файлов пакетов. Проверьте результат и личность подписывающего ключа.
- Также сравните полный SHA-512 с каталогом. Не запускайте файл, если его подпись не работает или вехи расходятся.
Обновление приложения и репозиторий APT — прежний ключ
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Публичный ключ OpenPGP · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Подпись пакетов .deb при сборке — новый отдельный ключ
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Публичный ключ OpenPGP · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Публичный ключ OpenPGP · Выпустить архив
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Загрузите пакет и его файл .asc из тех же деталей. Проверьте отпечатки пальцев публичного ключа по независимому доверенному каналу, импортируете ключ и прогоните gpg --verify. Затем сравните полный SHA-512 с каталогом. Не запускайте файл, если проверка не работает или значения различаются. Заменить <file> фактическим именем файла.
Ограничения и результаты проверки
Действительная подпись подтверждает файл относительно этого ключа. Установление доверия к ключу — отдельный шаг; одного сообщения «Good signature» недостаточно.
OpenPGP не заменяет подпись издателя Windows или нотариализацию Apple. Альфа-образные пакеты могут приводить в действие системы предупреждения.
Существует версия разработки Alpha и Beta. Прежде чем использовать его на важных системах, проанализируйте ограничения отдельных элементов и подготовьте резервное копирование.
