您需要準備的項目
GnuPG、安裝程式、對應的 .asc 簽章、CH-J 公開金鑰，以及透過獨立可信管道取得的預期金鑰指紋。
操作程序
- 在版本頁面選擇您的平台。在詳細資料中下載套件、對應的 .asc 簽章，以及簽署用公開金鑰。
- 使用下方指令顯示金鑰指紋，並透過獨立的可信管道進行比對；與套件一同下載的金鑰並不能證明其身分。
- 匯入已驗證的金鑰，並以精確的簽章與套件檔案名稱執行 gpg --verify。檢查結果以及簽署金鑰的身分。
- 同時將完整的 SHA-512 與目錄比對。若簽章驗證失敗或檢查碼不同，請勿執行該檔案。
應用程式更新器與 APT 套件庫 — 現有金鑰
pub (SC): 0D92 778A D8EC F85C 80E3 9248 48F2 433A D9CD F453sub (S): F3EA 1875 CBCF 63C8 9B2E D897 4402 8841 DE4E C7E4
OpenPGP 公開金鑰 · ch-j-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-signing-public.asc
建置時簽署 .deb 套件 — 新增獨立金鑰
pub (SC): BC75 DC9E 5757 88C7 4189 5E82 D7F2 C5F4 7535 F7D7sub (S): F503 5C4D 5F8E 139C 507B 00CA DEB3 6BB0 DE62 F640
OpenPGP 公開金鑰 · ch-j-deb-signing-public.asc
gpg --show-keys --with-subkey-fingerprint ch-j-deb-signing-public.asc
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
從同一個版本詳細資料下載套件及其 .asc 檔案。透過獨立的可信管道比對公開金鑰指紋，匯入金鑰並執行 gpg --verify。接著將完整的 SHA-512 與目錄比對。若驗證失敗或數值不同，請勿執行該檔案。請將 <file> 替換為實際的檔案名稱。
限制與結果檢查
有效的簽章只能證明檔案與該金鑰相符。確立對金鑰的信任是另一個獨立步驟；僅顯示 Good signature 並不足夠。
OpenPGP 無法取代 Windows 發行者簽章或 Apple 公證。Alpha 套件可能會觸發作業系統警告。
目前提供 Alpha 與 Beta 開發版。在重要系統上使用之前，請先了解各項功能的限制並準備好備份。
