键有两种类型：主键和签名（子）键。主键是ED25519密钥通常会脱机;签名的子键是实际签署repo的键。两者都可以是相同的关键。 a *公共签名键*如所使用的是以下内容的串联：验证：当客户端检查更新的释放文件时，如果其中一个签名的子项具有比它浏览的主键的序列号较低的序列号，它必须验证以前的版本文件。这有效地意味着一旦客户端看到存储库的新子项，就会撤消所有先前的子键。签名：用于签署静态存储库，例如Ubuntu稳定版本或Debian稳定版本，建议使用签名后丢弃的一次性签名子项。如果它们永远不会用于相同的存储库，则Subkeys可以重用/共享序列号。例如，-Security和-Updates套件可以由相同的主键签名，但具有串行0的不同子项.APT-Sign签名是直接发布文件的一部分，因此可以使用/内部共存分离roledle.gpg或clearsigned？inlelease文件。在Debian和Ubuntu运送一个稳定（在Ubuntu：LTS）发布时，将删除对OpenPGP签名的支持，并通过警告释放缺少APT标志签名。一旦存储库从受信任键提供ED25519签名，将不再验证OpenPGP签名。粗略的草稿：第一个聚会存储库签名密钥可能由ack.conf代码段配置，定义可信键控。其中＆＃39; ll就像一个默认的keyring和零个或多个命名keyrings，它们可以由签名字段引用。每个Keyring都是Base64编码的ED25519公钥列表。第三方存储库可能会通过直接在DEB822 Sources.List文件中直接列出的Base64编码的ED25519键列表来配置.List文件，而不是使用键控。这类似于表示（1）和miniSign（1）使用的不受信任的评论方法。我们已选择包含完整的公钥而不是我们签名中的密钥标识符，以便能够验证存储库，而无需在单独的频道上具有公钥，例如，对于Linting储存库，并确保存储库不仅仅是休息键具有错误签名的用户。此外，我们的签名处于单行，并且签名算法在字段名中编码而不是值。我们有工具可以将APT签名转换为表示OpenBSD公钥和签名，允许通过第二组工具验证释放文件。