Sublime Text herunterladen und verifizieren

Sublime HQ bietet den Editor Sublime Text in verschiedenen Varianten zum Herunterladen an. Neben Paketen für die Paketmanager unterschiedlicher Distributionen gibt es auch eine TAR-Datei nebst passender Signatur, mit deren Hilfe der Download verifiziert werden kann.

Das Vorgehen hierzu ist recht einfach und gliedert sich in drei Schritte:

Public Key herunterladen und einlesen

Zuerst wird der Public Key von Sublime HQ heruntergeladen

$ wget https://download.sublimetext.com/sublimehq-pub.gpg
...
2023-09-01 08:07:58 (65,3 MB/s) - »sublimehq-pub.gpg« gespeichert [3817/3817]

und in einen eigenen Keyring im aktuellen Arbeitsverzeichnis importiert

$ gpg --no-default-keyring --homedir ./ --import sublimehq-pub.gpg
...
gpg: Schlüssel ADAE6AD28A8F901A: Öffentlicher Schlüssel "Sublime HQ Pty Ltd <support@sublimetext.com>" importiert
gpg: Anzahl insgesamt bearbeiteter Schlüssel: 1
gpg:                              importiert: 1

Wer möchte, kann den Public Key natürlich auch seinem Standard-Keyring hinzufügen, hierzu einfach den Parameter “–homedir ./” weglassen.

Herunterladen von Sublime Text und Signaturdatei

Dann werden Sublime Text und die Signaturdatei heruntergeladen:

$ wget https://download.sublimetext.com/sublime_text_build_4152_x64.tar.xz
...
sublime_text_build_4152_ 100%[==================================>]  15,69M  1,23MB/s    in 14s

$ wget https://download.sublimetext.com/sublime_text_build_4152_x64.tar.xz.asc
...
sublime_text_build_4152_ 100%[==================================>]     819  --.-KB/s    in 0s

Verifizieren des Downloads

Als letzter Schritt werden die heruntergeladenen Dateien mit Hilfe des öffentlichen Schlüssels verifiziert

$ gpg --homedir ./ --verify sublime_text_build_4152_x64.tar.xz.asc sublime_text_build_4152_x64.tar.xz
...
gpg: Signatur vom Mi 30 Aug 2023 04:50:56 CEST
gpg:                mittels RSA-Schlüssel F57D4F59BD3DF454
gpg: Korrekte Signatur von "Sublime HQ Pty Ltd <support@sublimetext.com>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = 1EDD E2CD FC02 5D17 F6DA  9EC0 ADAE 6AD2 8A8F 901A
Unter-Fingerabdruck  = E359 79B8 96E9 9725 6457  C632 F57D 4F59 BD3D F454

Der Fingerabdruck ist leider nicht direkt auf der Download-Seite hinterlegt, findet sich aber im Forum:

• Non-RPM key: 1EDD E2CD FC02 5D17 F6DA 9EC0 ADAE 6AD2 8A8F 901A
• RPM key: 1B64 2796 75A4 299D CFC7 0858 CA46 4A9A 222D 23D0