Для того, чтобы убедиться, что пакет не был модифицирован с момента его подписывания, используется механизм проверки подписи. Процедура верификации также проверяет соответствие ключа ключу определенного вендора.

Утилита rpm (не rpmbuild) работает в режиме проверки подписи, если применяется опция -K:

Для изменения режима (отключения какой-то определенной проверки) используются опции, указанные в таблице ниже.

Также может применятся опция --checksig, она является синонимом -K.

Когда команда проверки находит в пакете правильные подписи, выводится примерно следующее:

Это сообщение означает, что пакет с момента подписывания не изменялся. Эта проверка также показала, что ключ производителя пакета соответствует его публичному ключу.

Для вывода более подробной информации нужно задействовать опцию -v:

Если проверка закончилась не успешно, а это может означать многое, вплоть до подмены пакета злоумышленником, увидим сообщение об ошибке:

Позиции, не прошедшие проверку, выделены в выводе символами верхнего регистра, например, DSA, в то время как прошедшие проверку подписи обозначаются символами в нижнем регистре. В данном примере сигнатуры sha1 и md5 совпали с ожидаемыми.

Наиболее вероятные причины ошибок при проверке:

1. Пакет не был правильным образом подписан. При этом он может быть легитимным.

2. Пакет был модифицирован и он больше не легитимен.

3. Система RPM не содержит публичного ключа вендора, который используется при проверке.

Из этого понятно, что само наличие ошибки ничего не говорит нам о легитимности пакета или наоборот. Поэтому первым шагом при возникновении таких ошибок должен быть импорт публичного ключа вендора пакетов.

Далее - Импорт публичного ключа
Назад - Подписывание с помощью утилиты rpm
Содержание