$ gpg --list-keys
Всё, что мы публикуем, подписано. С помощью этих открытых ключей вы можете проверить, что пакет или репозиторий подлинный и никто его не изменял.
Ключ сборки: подпись каждого файла
Каждый пакет (.deb, .rpm и AppImage) подписывается при сборке ключом, который никогда не покидает сборочную машину. Его подпись (.asc) доказывает, что файл именно тот, который мы опубликовали, и что никто его не изменял.
Отпечаток:
7B07 667D 0956 6D00 8850 97E0 CF65 15A3 0E5D 0F1FЧтобы проверить скачанный файл, один раз импортируйте ключ и проверьте подпись файла:
$ curl -fsSL https://cheshirekat.com.ar/keys/cheshirekat-release.asc | gpg --import
$ gpg --verify файл.asc файлКлюч репозитория: подпись индексов
Репозитории APT и RPM подписывают свои индексы этим ключом. apt, dnf и zypper сами используют его для проверки каждого обновления; команды установки каждого приложения уже устанавливают его.
Отпечаток:
EA33 E49A 099E C401 17EB 7E1D 8088 6602 7CFE D1B2Если вы импортируете его вручную, проверьте, что отпечаток совпадает с указанным выше.