Lo que necesitas
GnuPG, el instalador, con la firma .asc, la clave pública CH-J y una huella digital de clave esperada de confianza independiente.
Procedimiento
- Elija su plataforma en la página de versiones. En los detalles, descargue el paquete, su firma .asc correspondiente y la clave de firma pública.
- Muestra la huella de la clave con el comando de abajo. Compáralo a través de un canal independiente de confianza; descargar una clave junto con un paquete no establece su identidad.
- Importar la clave verificada y ejecutar gpg --verify con la firma exacta y los nombres de archivo del paquete. Compruebe el resultado y la identidad de la clave de firma.
- También compare el SHA-512 completo con el catálogo. No ejecute el archivo si su firma falla o las sumas de verificación difieren.
Tecla OpenPGP pública · Publicar archivo
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Descargue el paquete y su archivo .asc desde los mismos detalles de la versión. Compruebe la huella digital de la clave pública a través de un canal independiente de confianza, importe la llave y ejecute gpg --verify. A continuación, compare el SHA-512 completo con el catálogo. No ejecute el archivo si falla la verificación o los valores difieren. Reemplazar <file> con el nombre de archivo real.
Limitaciones y resultados de la comprobación
Una firma válida verifica el archivo contra esa clave. Establecer la confianza en la clave es un paso aparte; la buena firma por sí sola es insuficiente.
OpenPGP no reemplaza una firma de editor Windows o la notarización de Apple. Los paquetes Alpha pueden activar advertencias del sistema operativo.
Una versión de desarrollo Alfa está disponible. Antes de usarlo en sistemas importantes, revise las limitaciones de las características individuales y prepare copias de seguridad.
