Cosa ti serve?
GnuPG, l'installatore, la firma .asc corrispondente, la chiave pubblica CH-J e un'impronta digitale di fiducia indipendente.
Procedura
- Scegli la tua piattaforma nella pagina dei rilasci. Nei dettagli, scaricare il pacchetto, la sua firma .asc corrispondente e la chiave pubblica di firma.
- Mostrare l'impronta digitale con il comando sottostante. Confrontarlo attraverso un canale indipendente di fiducia; scaricare una chiave accanto a un pacchetto non ne stabilisce l'identità.
- Importa la chiave verificata ed esegui gpg --verify con il nome esatto del file firma e pacchetto. Controllare il risultato e l'identità della chiave di firma.
- Confronta anche la SHA-512 completa con il catalogo. Non eseguire il file se la sua firma non funziona o i checksum differiscono.
Chiave OpenPGP pubblica · Rilascia archivio
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Scarica il pacchetto e il suo file .asc dagli stessi dettagli di rilascio. Controllare l'impronta digitale della chiave pubblica attraverso un canale indipendente di fiducia, importare la chiave e eseguire gpg --verify. Quindi confronta la SHA-512 completa con il catalogo. Non eseguire il file se la verifica non riesce o i valori differiscono. Sostituisci <file> con il nome del file.
Limitazioni e risultati del controllo
Una firma valida verifica il file su quella chiave. Stabilire la fiducia nella chiave è un passo a parte; solo una buona firma è insufficiente.
OpenPGP non sostituisce una firma dell'editore Windows o la notarizzazione di Apple. I pacchetti Alpha possono attivare avvisi del sistema operativo.
È disponibile una versione di sviluppo Alpha. Prima di utilizzarlo su sistemi importanti, rivedere le limitazioni delle singole caratteristiche e preparare i backup.
