Моя цель состоит в том, чтобы настроить установку Сервера Ubuntu через debootstrap от другой установки Ubuntu и быть уверенной, что эта новая установка является корректной установкой Ubuntu без модификаций. Когда я выполняюсь
debootstrap trusty /mnt http://de.archive.ubuntu.com/ubuntu
Я получаю ответ
Valid Release signature (key id 790BC7277767219C42C86F933B4FE6ACC0B21F32)
Но то, как это выпускает подпись, проверяется? Против какой другой ключ? Или спросить в другом виде: Как я могу быть уверен, что загруженный пакет для debootstrap допустим и не был изменен продвигающийся?
Законность пакетов проверяется по брелоку для ключей, который может быть явно определен с --keyring=KEYRING
опция debootstrap
(см. man debootstrap
для деталей).
, Если опущено debootstrap
системные брелоки для ключей использования, которые можно легко установить с [name]-keyring
пакеты в synaptic
/ apt-get
и (незначительно более сложный) из источника.
, Если debootstrap
говорит Вам, что пакет допустим, существует высокое изменение, которое это. Если Вы подозреваете debootstrap
или библиотека, которой это пользуется для проверки, необходимо выполнить сложный обзор безопасности на основе исходного кода.
Если кто-то ищет больше деталей: Я решил свою проблему с цифровыми отпечатками файлов ключей (можно получить их с apt-key finger
), и сравнил их с другими (безопасными) системами.
, Возможно, полезный этот поток: , Как я знаю, мои системные обновления защищены?