Releases verifizieren¶

Jedes enconf-Release wird reproduzierbar gebaut und mit signierten Prüfsummen veröffentlicht. So lässt sich unabhängig belegen, dass ein Paket exakt aus dem veröffentlichten Quellcode stammt — „nicht vertrauen, sondern nachrechnen".

Optional

Für die normale Nutzung ist das nicht nötig: apt verifiziert die Pakete ohnehin über das signierte enconf-Repository. Diese Schritte sind für alle, die zusätzlich die Artefakte selbst prüfen wollen.

1. Signaturschlüssel importieren (einmalig)¶

curl -fsSL https://get.enconf.com/enconf-release-pubkey.asc | gpg --import

Fingerprint zum Abgleich: 464389AC D5D0FD35 0232DD4A 3960F63A C6C8BE58

2. Prüfsummen + Signatur laden¶

V=<version>   # z. B. die Version aus »apt-cache policy enconf-webpanel«
curl -fsSLO "https://get.enconf.com/checksums/SHA256SUMS-$V"
curl -fsSLO "https://get.enconf.com/checksums/SHA256SUMS-$V.asc"

3. Signatur prüfen¶

gpg --verify "SHA256SUMS-$V.asc" "SHA256SUMS-$V"
# → Good signature from "enconf Release Signing <releases@netcell-it.de>"

4. Paket gegen die Prüfsumme abgleichen¶

sha256sum enconf-webpanel_${V}_amd64.deb
# muss exakt der Zeile in SHA256SUMS-$V entsprechen

Reproduzierbar nachbauen (optional)¶

Der Build ist deterministisch (-trimpath, fixe Zeitstempel). Ein Nachbau aus demselben Git-Stand erzeugt byte-identische .deb-Dateien (gleiche sha256):

git checkout "v$V"
./packaging/build.sh
sha256sum dist/*_"$V"_*.deb