Проверка подписи пакета
Если вы хотите удостовериться в том, что пакет не был испорчен или повреждён, проверьте только md5sum, выполнив следующую команду в командной строке (замените coolapp именем файла вашего RPM пакета):
rpm --checksig --nogpg coolapp-1.1-1.rpm |
С другой стороны, насколько вы доверяете разработчику, создавшему пакет? Если пакет подписан GnuPG - ключом разработчика, вы узнаете, что разработчик именно тот, за кого себя выдает.
RPM пакет может быть подписан, используя Gnu Privacy Guard (или GnuPG), что поможет вам убедиться в том, что загруженный пакет стоит доверия.
GnuPG - это утилита для безопасного обмена информацией; она является полной и бесплатной заменой технологии шифрования PGP - программы конфиденциальности. Используя GnuPG, вы можете подтвердить подлинность документов, а также зашифровать/расшифровать передаваемые и принимаемые данные. GnuPG также способен проверить и расшифровать файлы PGP 5.x.
Во время установки Red Hat Linux, GnuPG устанавливается по умолчанию. Поэтому вы можете сразу воспользоваться GnuPG для проверки любых пакетов, полученных от Red Hat. Но сначала, вы должны импортировать открытый ключ Red Hat.
Импорт ключей
Когда вы импортируете открытый ключ, вы добавляете в свою связку ключей - keyring (файл, хранящий открытые и закрытые ключи). Затем, загружая документ или файл, вы можете проверить его подлинность, используя ключ, добавленный в связку.
Чтобы выполнить импорт ключа, воспользуйтесь параметром --import. В качестве тренировки, загрузите и выполните импорт открытого ключа Red Hat. Таким образом, в любой момент, когда вы захотите проверить пакет от Red Hat, вы сможете сделать это, используя полученный ключ.
Вы можете найти ключ Red Hat по адресу: http://www.redhat.com/about/contact.html. Используя ваш обозреватель, загрузите ключ, удерживая клавишу
gpg --import redhat2.asc |
На экране появится сообщение о том, что ключ был обработан. Чтобы убедиться в том, что ключ добавлен, выполните команду: gpg --list-keys. Вы увидите ключ, только что загруженный с Red Hat, а также ваши собственные ключи.
[newuser@localhost newuser]$ gpg --list-keys /home/newuser/.gnupg/pubring.gpg ----------------------------------------- pub 1024D/DB42A60E 1999-09-23 Red Hat, Inc <security@redhat.com> sub 2048g/961630A2 1999-09-23 |
 | Ключи не должны быть ссылками |
|---|---|
Может случиться так, что вы не сможете загрузить ключ, используя ссылку. Ключи - это текстовые файлы, поэтому их можно перенести на ваш компьютер также, как и обычный текстовый файл. Зная имя и расположение сохранённого файла, вы можете добавить его в свою связку. |
Проверка пакетов
Чтобы проверить подпись GnuPG файла RPM после загрузки ключа GnuPG от производителя, выполните следующую команду (замените coolapp именем файла вашего RPM пакета):
rpm --checksig coolapp-1.1-1.rpm |
Более подробно о GnuPG
Дополнительную информацию о GnuPG вы найдёте в Приложении B.