То, что тебе нужно
GnuPG, установщик, подходящая подпись .asc, открытый ключ CH-J и независимый доверенный отпечаток ключа.
Процедура
- Выберите платформу на странице релизов. В деталях загрузите пакет, его .asc Подпись и публичный ключ для подписания.
- Показать отпечатки ключа с командой ниже. Сравните его по независимому доверенному каналу; загрузка ключа рядом с пакетом не подсказывает его личность.
- Импортировать проверенный ключ и пропустить gpg --verify с точной подписью и именами файлов пакетов. Проверьте результат и личность подписывающего ключа.
- Также сравните полный SHA-512 с каталогом. Не запускайте файл, если его подпись не работает или вехи расходятся.
Публичный ключ OpenPGP · Выпустить архив
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Загрузите пакет и его файл .asc из тех же деталей. Проверьте отпечатки пальцев публичного ключа по независимому доверенному каналу, импортируете ключ и прогоните gpg --verify. Затем сравните полный SHA-512 с каталогом. Не запускайте файл, если проверка не работает или значения различаются. Заменить <file> фактическим именем файла.
Ограничения и результаты проверки
Действительное подпись проверяет файл по этому ключу. Установление доверия к ключу является отдельным шагом; одной хорошей подписи недостаточно.
OpenPGP не заменяет подпись издателя Windows или нотариализацию Apple. Альфа-образные пакеты могут приводить в действие системы предупреждения.
Существует версия разработки Alpha. Прежде чем использовать его на важных системах, проанализируйте ограничения отдельных элементов и подготовьте резервное копирование.
