☰

Debian の debian-keyring パッケージの整合性はどのように検証できますか?

tag-icon • tag-icon debian apt
Debian の debian-keyring パッケージの整合性はどのように検証できますか?

パッケージを更新しようとしたときに、広く議論されている「GPGエラー」が発生するDebianマシンに遭遇しました。http://security.debian.orgwheezy/updates リリース: 公開鍵が利用できないため、次の署名を検証できませんでした: NO_PUBKEY 8B48AD6246925553"。現在の鍵をインポートするには、debian-keyring パッケージをインストールする必要があります。

しかし、マシン上のキーはもう有効ではないので、パケットの内容が改ざんされていないことをどうやって確認できるのでしょうか?

答え1

キーを追加して使用しない場合でも、MD5 を手動で検証できます。

Print the md5sum of the Packages file which is listed in the Release file.
sed -n "s,main/binary-i386/Packages$,,p" ftp.us.debian.org_debian_dists_sid_Release 
# Print the md5sum of the Packages file itself.
md5sum ftp.us.debian.org_debian_dists_sid_main_binary-i386_Packages

最後に、パッケージ自体の MD5 または SHA チェックサムを確認します。

apt-cache show <package_name> | sed -n "s/MD5sum: //p" # Grab the checksum from the APT cache.
md5sum <binary_package_name>.deb                       # Compare it against the binary package's checksum.

ソース

関連情報