Sublime Text herunterladen und verifizieren
Sublime HQ bietet den Editor Sublime Text in verschiedenen Varianten zum Herunterladen an. Neben Paketen für die Paketmanager unterschiedlicher Distributionen gibt es auch eine TAR-Datei nebst passender Signatur, mit deren Hilfe der Download verifiziert werden kann.
Das Vorgehen hierzu ist recht einfach und gliedert sich in drei Schritte:
Public Key herunterladen und einlesen
Zuerst wird der Public Key von Sublime HQ heruntergeladen
$ wget https://download.sublimetext.com/sublimehq-pub.gpg
...
2023-09-01 08:07:58 (65,3 MB/s) - »sublimehq-pub.gpg« gespeichert [3817/3817]
und in einen eigenen Keyring im aktuellen Arbeitsverzeichnis importiert
$ gpg --no-default-keyring --homedir ./ --import sublimehq-pub.gpg
...
gpg: Schlüssel ADAE6AD28A8F901A: Öffentlicher Schlüssel "Sublime HQ Pty Ltd <support@sublimetext.com>" importiert
gpg: Anzahl insgesamt bearbeiteter Schlüssel: 1
gpg: importiert: 1
Wer möchte, kann den Public Key natürlich auch seinem Standard-Keyring hinzufügen, hierzu einfach den Parameter “–homedir ./” weglassen.
Herunterladen von Sublime Text und Signaturdatei
Dann werden Sublime Text und die Signaturdatei heruntergeladen:
$ wget https://download.sublimetext.com/sublime_text_build_4152_x64.tar.xz
...
sublime_text_build_4152_ 100%[==================================>] 15,69M 1,23MB/s in 14s
$ wget https://download.sublimetext.com/sublime_text_build_4152_x64.tar.xz.asc
...
sublime_text_build_4152_ 100%[==================================>] 819 --.-KB/s in 0s
Verifizieren des Downloads
Als letzter Schritt werden die heruntergeladenen Dateien mit Hilfe des öffentlichen Schlüssels verifiziert
$ gpg --homedir ./ --verify sublime_text_build_4152_x64.tar.xz.asc sublime_text_build_4152_x64.tar.xz
...
gpg: Signatur vom Mi 30 Aug 2023 04:50:56 CEST
gpg: mittels RSA-Schlüssel F57D4F59BD3DF454
gpg: Korrekte Signatur von "Sublime HQ Pty Ltd <support@sublimetext.com>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg: Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck = 1EDD E2CD FC02 5D17 F6DA 9EC0 ADAE 6AD2 8A8F 901A
Unter-Fingerabdruck = E359 79B8 96E9 9725 6457 C632 F57D 4F59 BD3D F454
Der Fingerabdruck ist leider nicht direkt auf der Download-Seite hinterlegt, findet sich aber im Forum:
- Non-RPM key: 1EDD E2CD FC02 5D17 F6DA 9EC0 ADAE 6AD2 8A8F 901A
- RPM key: 1B64 2796 75A4 299D CFC7 0858 CA46 4A9A 222D 23D0