Ang kailangan mo
GnuPG, ang installer, ang katugmang .asc signature, ang pampublikong key ng CH-J at ang inaasahang fingerprint ng key mula sa isang independiyente at pinagkakatiwalaang source.
Pamamaraan
- Piliin ang iyong platform sa pahina ng mga release. Sa mga detalye, i-download ang package, ang katugmang .asc signature at ang pampublikong signing key.
- Ipakita ang fingerprint ng key gamit ang command sa ibaba. Ihambing ito sa pamamagitan ng isang independiyente at pinagkakatiwalaang channel; hindi pinatutunayan ng pag-download ng key kasama ng package ang pagkakakilanlan nito.
- I-import ang na-verify na key at patakbuhin ang gpg --verify gamit ang eksaktong mga pangalan ng signature at package file. Suriin ang resulta at ang pagkakakilanlan ng signing key.
- Ihambing din ang buong SHA-512 sa katalogo. Huwag patakbuhin ang file kung nabigo ang signature o magkaiba ang checksum.
Pampublikong OpenPGP key · Archive ng mga release
gpg --show-keys --fingerprint ch-j-signing-public.asc gpg --import ch-j-signing-public.asc gpg --verify <file>.asc <file>
I-download ang package at ang .asc file nito mula sa parehong mga detalye ng release. Suriin ang fingerprint ng pampublikong key sa pamamagitan ng isang independiyente at pinagkakatiwalaang channel, i-import ang key at patakbuhin ang gpg --verify. Pagkatapos ay ihambing ang buong SHA-512 sa katalogo. Huwag patakbuhin ang file kung mabigo ang pag-verify o magkaiba ang mga value. Palitan ang <file> ng aktwal na pangalan ng file.
Mga limitasyon at pagsusuri ng resulta
Bine-verify ng wastong signature ang file laban sa key na iyon. Hiwalay na hakbang ang pagtiyak na mapagkakatiwalaan ang key; hindi sapat ang tekstong Good signature lamang.
Hindi pinapalitan ng OpenPGP ang Windows publisher signature o ang Apple notarization. Maaaring magdulot ng mga babala ng operating system ang mga Alpha package.
Available ang Alpha na bersyon para sa development. Bago ito gamitin sa mahahalagang sistema, suriin ang mga limitasyon ng bawat feature at maghanda ng mga backup.
