$ gpg --list-keys
Tutto ciò che pubblichiamo è firmato. Con queste chiavi pubbliche puoi verificare che un pacchetto o un repository sia autentico e che nessuno lo abbia alterato.
Chiave di build: la firma di ogni file
Ogni pacchetto (.deb, .rpm e AppImage) viene firmato durante la build con una chiave che non lascia mai la macchina di build. La sua firma (.asc) dimostra che il file è quello che abbiamo pubblicato e che nessuno lo ha modificato.
Impronta digitale:
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FPer verificare un file scaricato, importa la chiave una volta e controlla la sua firma:
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify file.asc fileChiave del repository: la firma degli indici
I repository APT e RPM firmano i loro indici con questa chiave. apt, dnf e zypper la usano automaticamente per verificare ogni aggiornamento; i comandi di installazione di ogni app la installano già.
Impronta digitale:
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Se la importi a mano, controlla che l'impronta digitale corrisponda a quella indicata sopra.