ZacharyZhang-NYandClaude Fable 5
9ce9f300ae
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01QKxGW1raAWaqeU8WdHsMsp
36 lines
1.1 KiB
Markdown
36 lines
1.1 KiB
Markdown
# Release 签名与验证
|
|
|
|
OmarchyCN 发布产物（ISO、SHA256SUMS、release.json）使用 PGP 签名。
|
|
|
|
## 当前密钥
|
|
|
|
| 用途 | 指纹 | 有效期 |
|
|
|---|---|---|
|
|
| 主钥（仅认证） | `04490F065F6ADD262A7243506EDF7B8603B5D247` | 2026-08-24 → 2028-08-23 |
|
|
| 发布签名子钥 | `51AACA0BF48922597B480E7E211B9B82E17CFB67` | 同上 |
|
|
|
|
公钥文件：[`cn/keys/omarchycn-release.asc`](../cn/keys/omarchycn-release.asc)
|
|
|
|
## 验证下载
|
|
|
|
```bash
|
|
gpg --import cn/keys/omarchycn-release.asc
|
|
gpg --verify SHA256SUMS.txt.asc SHA256SUMS.txt
|
|
sha256sum -c SHA256SUMS.txt
|
|
```
|
|
|
|
确认签名者指纹与上表一致。
|
|
|
|
## 密钥保管
|
|
|
|
- 主钥私钥离线保存（不进服务器、不进 CI），仅用于签发/吊销子钥
|
|
- 日常签名只使用签名子钥
|
|
- 私钥与吊销证书不入 Git；仓库只含公钥
|
|
|
|
## 轮换流程
|
|
|
|
1. 用主钥吊销旧签名子钥，签发新子钥
|
|
2. 更新 `cn/keys/omarchycn-release.asc` 与本文档指纹表
|
|
3. 在下一个 Release Notes 中公告轮换
|
|
4. 主钥泄露时：发布吊销证书、启用全新主钥、公告并重签最近产物
|