Vad du behöver
GnuPG, installationsprogrammet, matchande .asc-signatur, offentlig CH-J-nyckel och en oberoende pålitlig förväntad nyckel fingeravtryck.
Förfarande
- Välj din plattform på releasesidan. I detaljerna, ladda ner paketet, dess matchande .asc signatur och den offentliga signeringsnyckeln.
- Visa nyckelns fingeravtryck med kommandot nedan. Jämför det genom en oberoende betrodd kanal; att ladda ner en nyckel vid sidan av ett paket fastställer inte dess identitet.
- Importera den verifierade nyckeln och kör gpg --verify med exakt signatur och paketfilnamn. Kontrollera resultatet och namnteckningsnyckeln.
- Jämför också den kompletta SHA-512 med katalogen. Kör inte filen om dess signatur misslyckas eller kontrollsummor skiljer sig åt.
Allmän OpenPGP nyckel · Utgivningsarkiv
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
Ladda ner paketet och dess .asc-fil från samma utgivningsinformation. Kontrollera det öppna fingeravtrycket genom en oberoende tillförlitlig kanal, importera nyckeln och kör gpg --verify. Jämför sedan den kompletta SHA-512 med katalogen. Kör inte filen om verifieringen misslyckas eller värdena skiljer sig åt. Ersätt < file> med det verkliga filnamnet.
Begränsningar och kontrollresultat
En giltig signatur verifierar filen mot den nyckeln. Att skapa förtroende för nyckeln är ett separat steg, men det räcker inte med en god underskrift.
OpenPGP ersätter inte en Windows-förlagssignatur eller Apple-notarisering. Alfapaket kan utlösa varningar för operativsystem.
En Alpha-utvecklingsversion finns tillgänglig. Innan du använder det på viktiga system, se över begränsningarna för enskilda funktioner och förbereda säkerhetskopior.
