Validar assinaturas de artefato da extensão Hibernate

Instalar software de criptografia

Você deve instalar o pacote de criptografia GnuPG para validar assinaturas de artefatos a partir da linha de comando.

No macOS, você pode instalar o GnuPG usando o Homebrew:

brew install gnupg

Baixe e importe a chave de assinatura do MongoDB

Baixe e importe a chave pública que o MongoDB usa para assinar a versão:

gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 1a75005e142192223d6a7c3b76e0008d166740a8

Você também pode encontrar instruções específicas de versão na página Versões da extensão MongoDB para Hibernate ORM.

Baixar o artefato assinado

Baixe o artefato da MongoDB Extension for Hibernate ORM que você deseja verificar no Maven Central.

O exemplo a seguir baixa a versão 1.0.0 da extensão:

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar

Para verificar uma versão diferente, substitua 1.0.0 no comando pela versão que você deseja verificar.

Baixar a assinatura do artefato

Baixe o arquivo de assinatura separada para o mesmo artefato e versão:

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar.asc

O arquivo .asc deve corresponder ao arquivo de artefato que você baixou.

Verificar a assinatura

Execute o seguinte comando no diretório que contém o artefato e sua assinatura:

gpg --verify mongodb-hibernate-1.0.0.jar.asc mongodb-hibernate-1.0.0.jar

Se a assinatura for válida, o GnuPG exibirá uma mensagem semelhante à seguinte:

gpg: Signature made Wed Sep 16 19:15:35 2026 ISTgpg:                using RSA key 76E0008D166740A8gpg: Good signature from "MongoDB Java Driver Release Signing Key <packaging@mongodb.com>" [unknown]gpg: WARNING: This key is not certified with a trusted signature!gpg:          There is no indication that the signature belongs to the owner.Primary key fingerprint: 1A75 005E 1421 9222 3D6A 7C3B 76E0 008D 1667 40A8

Uma assinatura válida confirma que o artefato corresponde à versão assinada. revisar a impressão digital da chave e a identidade de assinatura antes de confiar no resultado.