Кожного разу, коли ми завантажуємо зображення для виконання установка деяких розподіл це важливо перевірити наявність помилок і що це той образ, яким він повинен бути. Останнє можна легко зробити, перевіривши підпис GPG.
У цьому дописі ми пояснимо, як перевірити підпис GPG із зображень OpenSUSE. Для опрацювання посібника ми використаємо версію openSUSE-12.3-DVD-i586.iso, хоча процедуру можна екстраполювати на будь-яку іншу доступну версію. Також передбачається, що використовується одна з попередніх версій дистрибутива (12.2).
Перше, що потрібно з’ясувати, який ключ був використаний для підпису. Для цього ми завантажуємо файл ASC (доступний на тій же сторінці завантаження), що відповідає нашому образу, розміщуємо обидва файли в одному каталозі та виконуємо:
gpg --verify openSUSE-12.3-DVD-i586.iso.asc openSUSE-12.3-DVD-i586.iso
Він поверне щось подібне до цього:
gpg: Підписано чт 07 липня 2013 р. 09:35:40 CST за допомогою ключа RSA ID 3DBDC284 gpg: Неможливо перевірити підпис: Відкритого ключа немає
Ключ - "3DBDC284". Беручи це до уваги, ми продовжуємо імпортувати:
gpg --import /usr/lib/rpm/gnupg/keys/gpg-pubkey-3dbdc284-4be1884d.asc
Система повідомить нас, що ми успішно імпортували ключ:
gpg: ключ 3DBDC284: відкритий ключ "ключ підписання проекту openSUSE" імпортований gpg: Загальна оброблена сума: 1 gpg: імпортовано: 1 (RSA: 1)
Інші ключі доступні на маршруті:
/usr/lib/rpm/gnupg/keys/
Після цього ми можемо перевірити відбиток ключа, якщо хочемо:
gpg --fingerprint 3DBDC284
Він поверне нам наступне:
pub 2048R / 3DBDC284 2008-11-07 [закінчується: 2014-05-04] Відбиток ключа = 22C0 7BA5 3417 8CD0 2EFE 22AA B88B 2FD4 3DBD C284 uid openSUSE Ключ підписання проекту
Нарешті ми перевіряємо, тепер так, що підпис правильний. Для цього нам доведеться повторно виконати команду з першого кроку:
gpg --verify openSUSE-12.3-DVD-i586.iso.asc openSUSE-12.3-DVD-i586.iso
Цього разу це дасть нам успішний результат:
gpg: Підписано чт. 07 березня 2013 р. 09:35:40 CST за допомогою ключа RSA ID 3DBDC284 gpg: Правильне підписання "ключа підписання проекту openSUSE" gpg: УВАГА: Цей ключ не сертифікований довіреною фірмою! gpg: немає жодних ознак належності підпису власнику. Відбитки пальців первинного ключа: 22C0 7BA5 3417 8CD0 2EFE 22AA B88B 2FD4 3DBD C284
Більше інформації - Список сховищ у openSUSE, Встановлення пакетів у openSUSE