准备条件
GnuPG、安装程序、对应的 .asc 签名、CH-J 公钥，以及通过独立可信渠道获得的预期密钥指纹。
操作步骤
- 在版本页面中选择您的平台。在详情中下载安装包、对应的 .asc 签名以及签名公钥。
- 使用下方命令显示密钥指纹，并通过独立的可信渠道进行核对；与安装包一同下载的密钥并不能证明其身份。
- 导入已验证的密钥，并使用准确的签名文件名和安装包文件名运行 gpg --verify。检查结果以及签名密钥的身份。
- 同时将完整的 SHA-512 与目录中的值进行比对。如果签名验证失败或校验和不一致，请勿运行该文件。
应用更新程序和 APT 仓库 — 现有密钥
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
OpenPGP 公钥 · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
构建时签署 .deb 软件包 — 新增独立密钥
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
OpenPGP 公钥 · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
从同一个版本详情中下载安装包及其 .asc 文件。通过独立的可信渠道核对公钥指纹，导入密钥并运行 gpg --verify。然后将完整的 SHA-512 与目录中的值进行比对。如果验证失败或数值不一致，请勿运行该文件。请将 <file> 替换为实际文件名。
限制与结果检查
有效的签名只能证明文件与该密钥相符。确认密钥可信是另一个单独的步骤；仅显示 Good signature 并不足够。
OpenPGP 不能取代 Windows 发布者签名或 Apple 公证。Alpha 安装包可能会触发操作系统警告。
目前提供 Alpha 和 Beta 开发版。在重要系统上使用之前，请了解各项功能的限制并准备好备份。
