企业官网建设流程全解析

“ 目录：RHCA+ -> 6 软件仓库 -> 23 RPM包验证和数字证书 ”

为发现误删或恶意篡改文件内容时使用

一、RPM包校验

将已安装文件和/var/lib/rpm/目录下的数据库内容进行比较，判断已安装的软件包（或文件）是否被修改；语法格式为：rpm 参数 对象

对配置文件修改一般是配置时操作的；而二进制相关文件一般不会改，所以要格外注意

[root@wuzuniao ~]# rpm -V time #执行后无任何信息，表示和原文件一样，未被改动过

[root@wuzuniao ~]# rpm -V time #手动修改后重新查询，已列出修改后的文件信息

S.5....T. d /usr/share/doc/time-1.7/README #说明文件README的大小、内容、修改时间被人为修改过

1、前面8个字符（S.5....T）属于验证信息，含义如下：

S：文件大小是否改变

M：文件的类型或文件的权限（rwx）是否改变

5：文件MD5校验和是否改变（可以看成文件内容是否改变）

D：设备的主从代码是否改变

L：文件路径是否改变

U：文件的属主（所有者）是否改变

G：文件的属组是否改变

T：文件的修改时间是否改变

.：若相关项没发生改变，用 . 表示

2、被修改文件类型，含义如下：

c：配置文件（configuration file）

d：普通文档（documentation）

g："鬼"文件（ghost file），很少见，该文件不应该被RPM包包含

l：授权文件（license file）

r：描述文件（read me）

?：不可读文件

3、被修改文件所在绝对路径（包含文件名）

[root@wuzuniao ~]#

二、RPM包数字证书校验

校验RPM包本身是否被修改

数字证书默认放在/etc/pki/rpm-gpg/目录，本身也是一个RPM包

数字证书，又称数字签名，由软件开发商直接发布。系统安装数字证书后，若RPM包被修改，包的数字证书也会改变，将导致校验不过无法安装

1、必须要原厂的公钥文件，然后才能本机安装

2、安装RPM包会提取包中的证书信息和本机安装的原厂证书进行验证。验证通过，则允许安装；验证不通过，则不允许安装并发出警告

1、导入签名

[root@wuzuniao ~]# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-beta #安装数字证书

[root@wuzuniao ~]# rpm -qa | grep gpg-pubkey #验证已安装的数字证书

gpg-pubkey-897da07a-3c979a7f

gpg-pubkey-f21541eb-4a5233e7

[root@wuzuniao ~]# rpm -qi gpg-pubkey-f21541eb-4a5233e7 #查询数字证书包的详细信息

Name : gpg-pubkey

Version : f21541eb

Release : 4a5233e7

Architecture: (none)

Install Date: Sun 02 Apr 2023 09:04:16 PM CST

Group : Public Keys

Size : 0

License : pubkey

Signature : (none)

Source RPM : (none)

Build Date : Tue 07 Jul 2009 01:27:03 AM CST

Build Host : localhost

Relocations : (not relocatable)

Packager : Red Hat, Inc. (beta key 2) security@redhat.com

Summary : gpg(Red Hat, Inc. (beta key 2) security@redhat.com)

Description :

-----BEGIN PGP PUBLIC KEY BLOCK-----

Version: rpm-4.11.1 (NSS-3)

mQINBEmkAzABEAC2/c7bP1lHQ3XScxbIk0LQWe1YOiibQBRLwf8Si5PktgtuPibT

kKpZjw8p4D+fM7jD1WUzUE0X7tXg2l/eUlMM4dw6XJAQ1AmEOtlwSg7rrMtTvM0A

BEtI7Km6fC6sU6RtBMdcqD1cH/6dbsfh8muznVA7UlX+PRBHVzdWzj6y8h84dBjo

gzcbYu9Hezqgj/lLzicqsSZPz9UdXiRTRAIhp8V30BD8uRaaa0KDDnD6IzJv3D9P

xQWbFM4Z12GN9LyeZqmD7bpKzZmXG/3drvfXVisXaXp3M07t3NlBa3Dt8NFIKZ0D

FRXBz5bvzxRVmdH6DtkDWXDPOt+Wdm1rZrCOrySFpBZQRpHw12eo1M1lirANIov7

Z+V1Qh/aBxj5EUu32u9ZpjAPPNtQF6F/KjaoHHHmEQAuj4DLex4LY646Hv1rcv2i

QFuCdvLKQGSiFBrfZH0j/IX3/0JXQlZzb3MuMFPxLXGAoAV9UP/Sw/WTmAuTzFVm

G13UYFeMwrToOiqcX2VcK0aC1FCcTP2z4JW3PsWvU8rUDRUYfoXovc7eg4Vn5wHt

0NBYsNhYiAAf320AUIHzQZYi38JgVwuJfFu43tJZE4Vig++RQq6tsEx9Ftz3EwRR

fJ9z9mEvEiieZm+vbOvMvIuimFVPSCmLH+bI649K8eZlVRWsx3EXCVb0nQARAQAB

tDBSZWQgSGF0LCBJbmMuIChiZXRhIGtleSAyKSA8c2VjdXJpdHlAcmVkaGF0LmNv

bT6JAjYEEwECACAFAkpSM+cCGwMGCwkIBwMCBBUCCAMEFgIDAQIeAQIXgAAKCRCT

ioDK8hVB6/9tEAC0+KmzeKceXQ/GTUoU6jy9vtkFCFrmv+c7ol4XpdTt0QhqBOwy

6m2mKWwmm8KfYfy0cADQ4y/EcoXl7FtFBwYmkCuEQGXhTDn9DvVjhooIq59LEMBQ

OW879RwwzRIZ8ebbjMUjDPF5MfPQqP2LBu9N4KvXlZp4voykwuuaJ+cbsKZR6pZ6

0RQKPHKP+NgUFC0fff7XY9cuOZZWFAeKRhLN2K7bnRHKxp+kELWb6R9ZfrYwZjWc

MIPbTd1khE53L4NTfpWfAnJRtkPSDOKEGVlVLtLq4HEAxQt07kbslqISRWyXER3u

QOJj64D1ZiIMz6t6uZ424VE4ry9rBR0Jz55cMMx5O/ni9x3xzFUgH8Su2yM0r3jE

Rf24+tbOaPf7tebyx4OKe+JW95hNVstWUDyGbs6K9qGfI/pICuO1nMMFTo6GqzQ6

DwLZvJ9QdXo7ujEtySZnfu42aycaQ9ZLC2DOCQCUBY350Hx6FLW3O546TAvpTfk0

B6x+DV7mJQH7MGmRXQsE7TLBJKjq28Cn4tVp04PmybQyTxZdGA/8zY6pPl6xyVMH

V68hSBKEVT/rlouOHuxfdmZva1DhVvUC6Xj7+iTMTVJUAq/4Uyn31P1OJmA2a0PT

CAqWkbJSgKFccsjPoTbLyxhuMSNkEZFHvlZrSK9vnPzmfiRH0Orx3wYpMQ==

=21pb

-----END PGP PUBLIC KEY BLOCK-----

[root@wuzuniao ~]# rpm -e gpg-pubkey-f21541eb-4a5233e7 #卸载数字证书，不推荐手动卸载

[root@wuzuniao ~]# rpm -qa | grep gpg-pubkey #再次查看数字证书已经少了个

gpg-pubkey-897da07a-3c979a7f

[root@wuzuniao ~]#

2、验证合法性

[root@wuzuniao ~]# rpm -K /media/cdrom/Packages/httpd-2.4.6-17.el7.x86_64.rpm #验证签名，判断来源是否合法、完整性

/media/cdrom/Packages/httpd-2.4.6-17.el7.x86_64.rpm: RSA sha1 ((MD5) PGP) md5 NOT OK (MISSING KEYS: (MD5) PGP#fd431d51)

[root@wuzuniao ~]# rpm -K /media/cdrom/Packages/httpcomponents-core-4.2.4-6.el7.noarch.rpm --nosignature #不验证签名，只验证软件包完整性

/media/cdrom/Packages/httpcomponents-core-4.2.4-6.el7.noarch.rpm: sha1 md5 OK

[root@wuzuniao ~]#