The seal works with a chain of cryptographic hashes and a signature and is explained in detail in <citerefentry><refentrytitle>apt-secure</refentrytitle><manvolnum>8</manvolnum></citerefentry>. Starting with Debian 10 <emphasis role="distribution">Buster</emphasis> the signed file is the <filename>InRelease</filename> file, provided by the Debian mirrors. There is also a legacy file called <filename>Release</filename>. Both contain a list of the <filename>Packages</filename> files (including their compressed forms, <filename>Packages.gz</filename> and <filename>Packages.xz</filename>, and the incremental versions), along with their SHA256 hashes, which ensures that the files haven't been tampered with. These <filename>Packages</filename> files contain a list of the Debian packages available on the mirror, along with their hashes, which ensures in turn that the contents of the packages themselves haven't been altered either. The difference between <filename>InRelease</filename> and <filename>Release</filename> is that the former is cryptographically signed in-line, whereas the latter provides a detached signature in the form of the file <filename>Release.gpg</filename>.
يعمل نظام الختم باستخدام سلسلة من شفرات التحقق وتوقيع. الملف الموقَّع هو الملف <filename>Release</filename>، المتوفر على مرايا دبيان. يحوي الملف قائمة بملفات <filename>Packages</filename> (متضمنة الصيغ المضغوطة لهذه الملفات، <filename>Packages.gz</filename> و<filename>Packages.xz</filename>، والنسخ التصاعدية منها)، بالإضافة إلى قيم MD5، و SHA1 و SHA256 لهذه الملفات، التي تضمن أن أحداً لم يعبث بها. تحوي ملفات <filename>Packages</filename> هذه قائمة بحزم دبيان المتوفرة على المرآة، بالإضافة إلى شِفرات التحقق الخاصة بها، التي تضمن بدورها أن أحداً لم يعبث بمحتوى الحزم نفسها.