Vad du behöver
GnuPG, installationsprogrammet, matchande .asc-signatur, offentlig CH-J-nyckel och en oberoende pålitlig förväntad nyckel fingeravtryck.
Förfarande
- Välj din plattform på releasesidan. I detaljerna, ladda ner paketet, dess matchande .asc signatur och den offentliga signeringsnyckeln.
- Visa nyckelns fingeravtryck med kommandot nedan. Jämför det genom en oberoende betrodd kanal; att ladda ner en nyckel vid sidan av ett paket fastställer inte dess identitet.
- Importera den verifierade nyckeln och kör gpg --verify med exakt signatur och paketfilnamn. Kontrollera resultatet och namnteckningsnyckeln.
- Jämför också den kompletta SHA-512 med katalogen. Kör inte filen om dess signatur misslyckas eller kontrollsummor skiljer sig åt.
Appuppdaterare och APT-arkiv — befintlig nyckel
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
Allmän OpenPGP nyckel · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
Signering av .deb-paket vid bygge — ny separat nyckel
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
Allmän OpenPGP nyckel · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
Allmän OpenPGP nyckel · Utgivningsarkiv
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Ladda ner paketet och dess .asc-fil från samma versionsinformation. Kontrollera den publika nyckelns fingeravtryck via en oberoende betrodd kanal, importera nyckeln och kör gpg --verify. Jämför sedan hela SHA-512-värdet med katalogen. Kör inte filen om verifieringen misslyckas eller värdena skiljer sig åt. Ersätt <file> med det faktiska filnamnet.
Begränsningar och kontrollresultat
En giltig signatur verifierar filen mot den nyckeln. Att etablera förtroende för nyckeln är ett separat steg; meddelandet ”Good signature” räcker inte ensamt.
OpenPGP ersätter inte en Windows-förlagssignatur eller Apple-notarisering. Alfapaket kan utlösa varningar för operativsystem.
En Alpha och Beta-utvecklingsversion finns tillgänglig. Innan du använder det på viktiga system, se över begränsningarna för enskilda funktioner och förbereda säkerhetskopior.
