$ gpg --list-keys
Alles, was wir veröffentlichen, ist signiert. Mit diesen öffentlichen Schlüsseln prüfst du, ob ein Paket oder ein Repository echt ist und niemand es verändert hat.
Build-Schlüssel: die Signatur jeder Datei
Jedes Paket (.deb, .rpm und AppImage) wird beim Bauen mit einem Schlüssel signiert, der die Build-Maschine nie verlässt. Seine Signatur (.asc) belegt, dass die Datei die von uns veröffentlichte ist und niemand sie verändert hat.
Fingerabdruck:
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FUm eine heruntergeladene Datei zu prüfen, importiere den Schlüssel einmal und prüfe ihre Signatur:
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify Datei.asc DateiRepository-Schlüssel: die Signatur der Indizes
Die APT- und RPM-Repositorys signieren ihre Indizes mit diesem Schlüssel. apt, dnf und zypper verwenden ihn automatisch, um jedes Update zu prüfen; die Installationsbefehle jeder App richten ihn bereits ein.
Fingerabdruck:
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Wenn du ihn von Hand importierst, prüfe, ob der Fingerabdruck mit dem obigen übereinstimmt.