$ gpg --list-keys
Tout ce que nous publions est signé. Grâce à ces clés publiques, vous pouvez vérifier qu'un paquet ou un dépôt est authentique et que personne ne l'a altéré.
Clé de compilation : la signature de chaque fichier
Chaque paquet (.deb, .rpm et AppImage) est signé lors de sa compilation, avec une clé qui ne quitte jamais la machine de compilation. Sa signature (.asc) prouve que le fichier est bien celui que nous avons publié et que personne ne l'a modifié.
Empreinte :
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FPour vérifier un fichier téléchargé, importez la clé une fois, puis vérifiez sa signature :
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify fichier.asc fichierClé du dépôt : la signature des index
Les dépôts APT et RPM signent leurs index avec cette clé. apt, dnf et zypper l'utilisent automatiquement pour vérifier chaque mise à jour ; les commandes d'installation de chaque appli l'installent déjà.
Empreinte :
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Si vous l'importez manuellement, vérifiez que l'empreinte correspond à celle indiquée ci-dessus.