32.3. パッケージの署名のチェック
パッケージが破損したり不正に変更されたりしていないこと を検査する場合、シェルプロンプトで以下のコマンドを入力 してmd5sumを調べます(<rpm-file> の部分を実際のRPM パッケージのファイル名に置き換えて ください)。
rpm -K --nogpg <rpm-file> |
<rpm-file>: md5 OKと言うメッセージが表示されます。 この短いメッセージはダウンロードによるメッセージの 破損はないことを意味しています。詳細メッセージを 表示するには、コマンド内の-Kを -Kvvに置き換えます。
一方、パッケージを作成した開発者はどの程度に 信用できるでしょうか。パッケージが開発者の GnuPG キーで 署名されていれば、開発者が 誰なのか判断できます。
RPM パッケージは Gnu Privacy Guard (GnuPG)を使用して 署名を入れることができ、これによりユーザーはダウンロード したパッケージが信頼できるものであることを確認するのに 役立ちます。
GnuPG は安全な通信のためのツールで、PGPの暗号化技術で ある電子プライバシー保護プログラムを完全に無償で 置き換えたものです。GnuPGを使用して、ドキュメントの 正当性を認証し、他の受信者との間で送受信するデータを 暗号化/解読することができます。GnuPG は、PGP 5. xのファイルについても同様に 解読、認証を行うことが可能です。
Red Hat Linuxのインストール時に、GnuPG がデフォルトで インストールされます。このため、Red Hatから入手した パッケージの検査をGnuPG を使用してすぐに始めることが できます。最初に、Red Hatの公開キーをインポートする必要 があります。
32.3.1. キーのインポート
Red Hatパッケージを検証するには、Red Hat GPGキーをインポート する必要があります。これを実行するには、シェルプロンプト で次のコマンドを実行します。
rpm --import /usr/share/rhn/RPM-GPG-KEY |
RPM検証用にインストールされたすべてのキーの一覧を 表示するには、次のコマンドを実行します。
rpm -qa gpg-pubkey* |
Red Hatキー用には、出力が次を含んでいます。
gpg-pubkey-db42a60e-37ea5438 |
特定のキーの詳細を表示するには、rpm -qi コマンドの後に、先程のコマンドの出力を 付けます。
rpm -qi gpg-pubkey-db42a60e-37ea5438 |
32.3.2. パッケージ署名の検証
構築者のGnuPGキーをインポートした後で、RPMファイルの GnuPG署名をチェックするには、次のコマンドを使用します (<rpm-file>を実際の RPMパッケージのファイル名に置き換えます)。
rpm -K <rpm-file> |
すべて問題がなければ、md5 gpg OK のメッセージが表示されます。これは、 パッケージの署名が検証され、破損もしていないという 意味です。
 | ヒント |
|---|---|
GnuPGについての詳細情報は、 付録Bをご覧ください。 |