DeveloperWiki:パッケージの署名

UID を選ぶ

• 有効なメールアドレスを使い、難読化はしない。
• メールアドレスは信頼のできるものを使う (ISP や大手以外の無料のサービスから取得したものを使わない)。
• 信頼できるか疑わしいときは、@archlinux.org アドレスを使うべき。
• UID はパッケージをビルドするときに使う PACKAGER 変数と同じである必要がある。
• 正しい UID の形式は、Pierre Schmitz <pierre@archlinux.de>
• 本名を使うことを推奨。公式な証明書(パスポート・運転免許証等)と厳密に同じである必要がある。CAcert's practice on names も参照。

キーペアを作る

1. Install gnupg.
2. Run: gpg --gen-key
   1. You may use the default: a never expiring 2048-bit RSA key for encryption and signing.
3. Create a revocation certificate, for use when/if your private key ever gets compromised:
   1. Run: gpg -o ~/.gnupg/pierre@archlinux.de-revoke.asc --gen-revoke pierre@archlinux.de
   2. Make sure to store this file in a secure location (and/or encrypt it with a passphrase); then delete the plaintext version.
4. Backup your private key: gpg --export-secret-keys pierre@archlinux.de > pierre@archlinux.de-private.asc

推奨: キーを CAcert にサインしてもらう

1. Create an account on CAcert.
2. Meet CAcert assurers and have them verify your official identification documents; see CAcert's assurance policy.
3. You will then be able to access a new part of the CAcert website and get your key signed:
   1. Export your public key: gpg --export --armor pierre@archlinux.de > pierre@archlinux.de.asc
   2. Paste the content of that file into the form on the CAcert website.
   3. Save the signed key from the CAcert website and import it: gpg --import <filename>

推奨: キーを他の開発者にサインしてもらう

1. When ever you meet with another dev, sign each others' keys.
2. Take this seriously: never sign a key when you cannot verify the other person's identity.
3. See CAcert's assurance policy for good guidelines.

公開鍵を公開する

1. Send your public key to a keyserver:
   1. Check your key id with: gpg -k
   2. Run: gpg --send-keys KEY-ID
2. Add your key fingerprint to your profile at https://www.archlinux.org/devel/profile/

安全に！

1. Create a backup of your keys and be sure not to forget the passphrase!