Razvijalci in pregledovalci
Tilen Pirih. Ventic vzdržuje ena sama oseba: vsak commit na izdajni veji napiše ali pregleda ta račun in nihče drug vanjo ne more potiskati. Zunanji prispevki pridejo kot pull request in so pregledani, preden se združijo.
Preglednost
Pravilnik o podpisovanju kode
Izdaje za Windows na tej strani so podpisane, zato lahko Windows navede izdajatelja, namesto da opozori na neznanega. Ta stran pove, kdo stoji za tem podpisom in kaj se mora zgoditi, preden se ga dodeli.
Nazadnje posodobljeno September 21, 2026
Komu je kaj zaupano
Ventic je majhen projekt in to odkrito pove: spodnje vloge ima ena sama oseba. Pošteno to ohranja dejstvo, da se nič od tega ne dogaja na skrivaj – koda je javna, gradnja je javen zagon delovnega toka, podpis pa zabeleži, iz katerega commita izhaja.
Odobritelji
Tilen Pirih. Vsako zahtevo za podpis je treba v SignPathu odobriti ročno, preden se karkoli opremi s potrdilom; neodobrena gradnja ni nikoli podpisana.
Varnost računov
Na obeh računih, ki sta tu pomembna, je obvezna večfaktorska avtentikacija – GitHub, kjer je koda, in SignPath, kjer je odobritev.
Kako se izdaja podpiše
Zasebnega ključa v tem projektu ni in ga nikoli ni bilo. Živi v strojnem varnostnem modulu SignPatha in nič tukaj ne more ničesar podpisati samo od sebe – gradnja lahko le prosi, odgovor pa da človek.
- 1
Izdaja se začne z oznako, poslano v javni repozitorij. Nič drugega je ne sproži.
- 2
GitHub Actions namestitvene datoteke zgradi na GitHubovih strežnikih, iz točno tega commita, brez koraka, ki bi tekel na nečijem lastnem računalniku.
- 3
SignPath zgrajene namestitvene datoteke sam prevzame z GitHuba, namesto da bi mu jih kdo izročil, zato lahko preveri, kateri zagon delovnega toka in kateri commit ju je ustvaril. Datoteko, zgrajeno kje drugje, zavrne.
- 4
Zahteva za podpis počaka na človeško odobritev. Šele nato se potrdilo uporabi.
- 5
Podpisane namestitvene datoteke v izdaji zamenjajo nepodpisane in se znova podpišejo za posodabljanje v aplikaciji, da posodobitev še naprej prestane preverjanje.
Izdaje za Linux, macOS in Android so podpisane z mehanizmi svojih platform in jih to potrdilo ne pokriva. Kar namestite prek upravitelja paketov – apt, dnf, AUR –, podpiše tisti, ki ta paket vzdržuje.
Kaj podpis pove in česa ne
Pove, da je namestitvena datoteka, ki ste jo prenesli, res tista, ki jo je zgradil ta projekt, in da je na poti do vas ni nihče spremenil. Ni pa presoja tega, kaj program počne – za to je koda javna, pravilnik o zasebnosti te strani pa našteva vsako zahtevo, ki jo aplikacija opravi.
Ventic ne vsebuje tuje namestitvene datoteke, priložene orodne vrstice ali oglaševalske komponente. Na namizju video predvaja z mpv, ki je v različici za Windows priložen in ima svojo licenco.
Potrdilo
Free code signing provided by SignPath.io, certificate by SignPath Foundation.
SignPath Foundation izdaja potrdila odprtokodnim projektom, ki izpolnjujejo njene pogoje, in prav zato lahko neodvisen projekt sploh ponudi podpisano namestitveno datoteko. Ventic zanjo ne plača nič, in tudi vi ne.