Ce dont vous avez besoin
GnuPG, l'installateur, la signature .asc correspondante, la clé publique CH-J et une empreinte de clé attendue indépendante.
Procédure
- Choisissez votre plateforme sur la page des versions. Dans les détails, téléchargez le paquet, sa signature .asc correspondante et la clé de signature publique.
- Affichez l'empreinte de la clé avec la commande ci-dessous. Comparez-le par un canal de confiance indépendant; télécharger une clé à côté d'un paquet n'établit pas son identité.
- Importer la clé vérifiée et exécuter gpg --verify avec la signature exacte et les noms de fichiers de paquet. Vérifiez le résultat et l'identité de la clé de signature.
- Comparer également le SHA-512 complet avec le catalogue. N'exécutez pas le fichier si sa signature échoue ou si les montants de contrôle diffèrent.
Clé publique OpenPGP · Archive de publication
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Télécharger le paquet et son fichier .asc à partir des mêmes détails de publication. Vérifiez les empreintes digitales de la clé publique par un canal de confiance indépendant, importez la clé et lancez gpg --verify. Ensuite, comparez le SHA-512 complet avec le catalogue. N'exécutez pas le fichier si la vérification échoue ou si les valeurs diffèrent. Remplacer <file> par le nom de fichier réel.
Limites et résultats de contrôle
Une signature valide vérifie le fichier par rapport à cette clé. L'établissement de la confiance dans la clé est une étape distincte; La bonne signature seule est insuffisante.
OpenPGP ne remplace pas une signature d'éditeur Windows ou une notation Apple. Les paquets Alpha peuvent déclencher des avertissements du système d'exploitation.
Une version de développement Alpha est disponible. Avant de l'utiliser sur des systèmes importants, examinez les limites des caractéristiques individuelles et préparez des sauvegardes.
