Verisign签署Debian密钥？

Question

我有来自verisign / symnatic的（付费）代码签名证书，我用它在Windows中签署我的代码。

可以使用相同的证书签署debian包吗？我如何进入GPG？

Answer 1

debian使用不同的信任模型，它基于Debian开发人员的信任网（gpg），而不是商业证书（verisign，......）。

所以答案是：没有。你不能简单地使用你的verisign 证书来使用gpg-sign debian软件包。

如果你想签署你的debian软件包，只需给自己一个gpg密钥，然后用它来签署你的软件包。 让您的用户接受您的签名，您必须选择：

• 私人方式

  • 设置您自己的存储库

    e.g。关注How to setup a Debian Repository

  • 使用您的密钥签署整个存储库

    gpg -abs -o Release.gpg Release

  • 让潜在用户安装密钥

    gpg --keyserver subkeys.pgp.net --recv-keys 7F7A36F8
gpg -a --export 7F7A36F8 | sudo apt-key add -

  • 并让他们将您的存储库添加到他们的/etc/apt/sources.list.d

如你所知，这是相当复杂的，并且要求用户事先信任你（而不是信任verisign）。如果您认为您的用户不会对此感到困扰，那么仍有：

• 官方方式

  • become a member of the Debian project，并将您的软件包直接上传到Debian