$ gpg --list-keys
Tudo o que publicamos é assinado. Com estas chaves públicas você confirma que um pacote ou um repositório é autêntico e que ninguém o alterou.
Chave de compilação: a assinatura de cada arquivo
Cada pacote (.deb, .rpm e AppImage) é assinado ao ser compilado, com uma chave que nunca sai da máquina de compilação. Sua assinatura (.asc) comprova que o arquivo é o que publicamos e que ninguém o modificou.
Impressão digital:
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FPara verificar um arquivo baixado, importe a chave uma vez e confira a assinatura:
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify arquivo.asc arquivoChave do repositório: a assinatura dos índices
Os repositórios APT e RPM assinam seus índices com esta chave. apt, dnf e zypper a usam automaticamente para verificar cada atualização; os comandos de instalação de cada app já a instalam.
Impressão digital:
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Se você a importar manualmente, confira se a impressão digital coincide com a de cima.