CheckPackageSign

Внимание! Страница в разработке!!!

Проверка подписи пакета

Когда разработчик собирает пакет с программным обеспечением, он подписывает его собственным ключом, чтобы потом можно было проверить целостность и подлинность пакета.

Вывод списка ключей разработчиков

Чтобы просмотреть список всех ключей, используемых для проверки RPM, выполните команду:

$ gpg2 --show-keys --with-fingerprint --keyid-format=short /usr/lib/alt-gpgkeys/pubring.gpg 2>/dev/null

Получим длинную простыню ключей.

Вывод ключа конкретного разработчика

Добавляем

| grep -i da2773bb -A2

где в -i - открытый ключ разработчика.

$ gpg2 --show-keys --with-fingerprint --keyid-format=short /usr/lib/alt-gpgkeys/pubring.gpg 2>/dev/null | grep -i da2773bb -A2

И получим информацию о ключе конкретного разработчика:

pub   rsa4096/DA2773BB 2019-05-16 [SC] [   годен до: 2029-05-13]
      Отпечаток ключа = DF6C 02E5 F174 D7CD F792  A9CD FF97 9DED DA27 73BB
uid                    ALT Sisyphus <alt-sisyphus@altlinux.org>

Выполнение проверки пакета

Выполним команду:

$ rpmsign -Kv /ALT/Sisyphus/x86_64/RPMS.classic/aalib-1.4-alt8rc5.x86_64.rpm 

• ключ -K -
• ключ -v - показывать более детальные сообщения

Результат:

/ALT/Sisyphus/x86_64/RPMS.classic/aalib-1.4-alt8rc5.x86_64.rpm:
    Заголовок V4 RSA/SHA512 Signature, key ID da2773bb: NOKEY
    Header SHA1 digest: OK (55646034ebf72d56dd998eb2f472743bb1ff0f71)
    MD5 digest: OK (0cb307f1262551578b95326fa052ff4a)
    V4 RSA/SHA512 Signature, key ID da2773bb: NOKEY

Если всё проходит хорошо, появляется следующее сообщение md5 gpg OK. Это значит, что подпись пакета была проверена и она не испорчена.

Или:

rpm --checksig '/home/user/Загрузки/gpupdate-0.10.0-alt1.noarch.rpm'

Результат:

/home/user/Загрузки/gpupdate-0.10.0-alt1.noarch.rpm: (RSA) sha1 md5 (GPG) НЕ ОК (ОТСУТСТВУЮТ КЛЮЧИ: RSA#c7eb80f9 GPG#c7eb80f9)