PQKeep v0.1.0-beta.2

Second public beta of PQKeep – post-quantum key generation and storage (ML-KEM, ML-DSA, AES-256-GCM, Argon2id), CLI and local REST API.

⚠️ Beta, not audited, not FIPS 140 validated. File formats and options may still change before 1.0. Do not use it for secrets you cannot afford to lose.

What is new

• Linux ARM64 release archive and Debian packages (.deb) for amd64 and arm64.
• Signing and verifying from the command line (pqkeep sign / pqkeep verify, detached .pqsig signatures).
• Guided flows for creating keys, signing and verifying; multi-selection in the menu; several sources per run.
• File manager context menus for Linux (Nemo, Nautilus, Dolphin, Thunar) and Windows, installed and removed with pqkeep integrate.
• Unattended operation with --passphrase-file and --batch.
• New passphrases need at least 128 bits (was 80); --min-bits raises the requirement. Existing files stay readable.

See CHANGELOG.md for the full list and docs/SECURITY_REVIEW.md for the self-review.

Downloads

File	Platform
pqkeep-0.1.0-beta.2-amd64.deb	Debian 12/13, Ubuntu 22.04/24.04/26.04 on x86_64
pqkeep-0.1.0-beta.2-arm64.deb	Debian 12/13, Ubuntu 22.04/24.04/26.04 on ARM64
pqkeep-0.1.0-beta.2-x86_64-unknown-linux-gnu.tar.gz	Linux x86_64 (glibc ≥ 2.35)
pqkeep-0.1.0-beta.2-aarch64-unknown-linux-gnu.tar.gz	Linux ARM64 (glibc ≥ 2.35)
pqkeep-0.1.0-beta.2-x86_64-pc-windows-msvc.zip	Windows 10/11 x86_64
*.cdx.json	SBOM (CycloneDX), one per file above
SHA256SUMS, *.sigstore.json	checksums and Sigstore signatures

Install a Debian package with sudo apt install ./pqkeep-0.1.0-beta.2-amd64.deb (inside the package the version is 0.1.0~beta.2-1). There is no APT repository; to update, install the newer package. Other distributions are not tested. Details: docs/INSTALL.md.

Verifying this release

The same three checks work for every .tar.gz, .zip and .deb; replace the file name as needed.

sha256sum -c SHA256SUMS --ignore-missing
gh attestation verify pqkeep-0.1.0-beta.2-amd64.deb --repo SpecterAoD/pqkeep
cosign verify-blob --bundle pqkeep-0.1.0-beta.2-amd64.deb.sigstore.json \
  --certificate-identity "https://github.com/SpecterAoD/pqkeep/.github/workflows/release.yml@refs/tags/v0.1.0-beta.2" \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  pqkeep-0.1.0-beta.2-amd64.deb

The Windows binary is not yet Authenticode-signed (see the code signing policy); Windows SmartScreen may warn on first start. It is covered by the attestation, Sigstore signature and checksum above.

---

Zweite öffentliche Beta von PQKeep – Erzeugung und Speicherung von Post-Quanten-Schlüsseln (ML-KEM, ML-DSA, AES-256-GCM, Argon2id), CLI und lokale REST-API.

⚠️ Beta, nicht auditiert, nicht FIPS-140-validiert. Dateiformate und Optionen können sich bis 1.0 ändern. Bitte nicht für Geheimnisse verwenden, deren Verlust nicht verkraftbar ist.

Neu: Linux-ARM64-Archiv und Debian-Pakete (.deb) für amd64 und arm64; Signieren und Prüfen auf der Kommandozeile (pqkeep sign / pqkeep verify); geführte Abläufe für Schlüsselerzeugung, Signieren und Prüfen; Kontextmenüs für Dateimanager unter Linux und Windows (pqkeep integrate); unbeaufsichtigter Betrieb mit --passphrase-file und --batch; neue Passphrasen brauchen mindestens 128 Bit (bisher 80), bestehende Dateien bleiben lesbar.

Debian-Paket installieren: sudo apt install ./pqkeep-0.1.0-beta.2-amd64.deb (bzw. -arm64.deb). Geprüft auf Debian 12/13 und Ubuntu 22.04/24.04/26.04; kein APT-Repository, Aktualisierung durch Installation des neueren Pakets.

Prüfen: wie oben (sha256sum -c, gh attestation verify, cosign verify-blob) – für .tar.gz, .zip und .deb gleich. Das Windows-Programm ist noch nicht Authenticode-signiert; SmartScreen kann beim ersten Start warnen. Es ist durch Attestation, Sigstore-Signatur und Prüfsumme abgesichert.

PQKeep v0.1.0-beta.1

First public beta of PQKeep – post-quantum key generation and storage (ML-KEM, ML-DSA, AES-256-GCM, Argon2id), CLI and local REST API.

⚠️ Beta, not audited, not FIPS 140 validated. File formats and options may still change before 1.0. Do not use it for secrets you cannot afford to lose.

See CHANGELOG.md for the full list and docs/SECURITY_REVIEW.md for the self-review.

Downloads

File	Platform
pqkeep-0.1.0-beta.1-x86_64-unknown-linux-gnu.tar.gz	Linux x86_64 (glibc ≥ 2.35, e.g. Ubuntu 22.04+, Debian 12+, Linux Mint 21+)
pqkeep-0.1.0-beta.1-x86_64-pc-windows-msvc.zip	Windows 10/11 x86_64
*.cdx.json	SBOM (CycloneDX)
SHA256SUMS, *.sigstore.json	checksums and Sigstore signatures

Verifying this release

sha256sum -c SHA256SUMS --ignore-missing
gh attestation verify pqkeep-0.1.0-beta.1-x86_64-unknown-linux-gnu.tar.gz --repo SpecterAoD/pqkeep
cosign verify-blob --bundle pqkeep-0.1.0-beta.1-x86_64-unknown-linux-gnu.tar.gz.sigstore.json \
  --certificate-identity "https://github.com/SpecterAoD/pqkeep/.github/workflows/release.yml@refs/tags/v0.1.0-beta.1" \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com \
  pqkeep-0.1.0-beta.1-x86_64-unknown-linux-gnu.tar.gz

The Windows binary is not yet Authenticode-signed (see the code signing policy); Windows SmartScreen may warn on first start. It is covered by the attestation, Sigstore signature and checksum above.

---

Erste öffentliche Beta von PQKeep – Erzeugung und Speicherung von Post-Quanten-Schlüsseln (ML-KEM, ML-DSA, AES-256-GCM, Argon2id), CLI und lokale REST-API.

⚠️ Beta, nicht auditiert, nicht FIPS-140-validiert. Dateiformate und Optionen können sich bis 1.0 ändern. Bitte nicht für Geheimnisse verwenden, deren Verlust nicht verkraftbar ist.

Prüfen: wie oben (sha256sum -c, gh attestation verify, cosign verify-blob). Das Windows-Programm ist noch nicht Authenticode-signiert; SmartScreen kann beim ersten Start warnen. Es ist durch Attestation, Sigstore-Signatur und Prüfsumme abgesichert.