$ gpg --list-keys
Todo lo que publicamos va firmado. Con estas claves públicas comprobás que un paquete o un repositorio es auténtico y que nadie lo alteró.
Clave de armado: la firma de cada archivo
Cada paquete (.deb, .rpm y AppImage) se firma al armarlo con una clave que nunca sale de la máquina de armado. Su firma (.asc) prueba que el archivo es el que publicamos y que nadie lo modificó.
Huella:
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FPara verificar un archivo descargado, importá la clave una vez y comprobá su firma:
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify archivo.asc archivoClave del repositorio: la firma de los índices
Los repositorios APT y RPM firman sus índices con esta clave. apt, dnf y zypper la usan solos para verificar cada actualización; los comandos de instalación de cada app ya la instalan.
Huella:
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Si la importás a mano, comprobá que la huella coincida con la de arriba.