第2章 ポスト量子署名を用いた RPM パッケージの検証

手順

1. dnf-plugin-multisig パッケージをインストールしてください。このパッケージは、デフォルトのシステム RPM ツールとは別の pqrpm パッケージもインストールします。pqrpm パッケージは、独自の信頼できる OpenPGP 証明書データベースを使用します。

   # dnf install dnf-plugin-multisig

2. Red Hat OpenPGP 証明書の信頼を確立するには、以下のいずれかの手順を実行してください。

   • 証明書を DNF リポジトリー設定ファイルに追加してください。/etc/yum.repos.d/<repo_name>.repo ファイルで gpgkey ディレクティブを使用して、両方の証明書ファイルをリスト表示します。

     gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
            file:///etc/pki/rpm-gpg/RPM-GPG-KEY-PQC-redhat-release

     gpgkey の値のインデントは重要です。

     このオプションを使用する場合、dnf コマンドを --assumeyes または -y オプション付きで使用しない限り、CLI からのパッケージインストール中にシステムは追加の対話型プロンプトを表示することに注意してください。

   • 両方の証明書を pqrpm データベースにインポートします。

     # /usr/lib/pqrpm/bin/rpmkeys --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release /etc/pki/rpm-gpg/RPM-GPG-KEY-PQC-redhat-release

     最初の方法が利用できない場合、たとえば DNF リポジトリーの設定ファイルが外部で管理されていて簡単に編集できない場合などに、この代替手段を使用してください。

検証

1. RPM パッケージをインストールまたは更新する例:

   # dnf install gnupg2

2. 前回のパッケージのインストールまたはアップデート時に、DNF プラグインがすべての署名を正常に検証したことを確認してください。

   # grep "Multisig:" /var/log/dnf.log

   2026-03-11T13:44:51+0100 DEBUG Multisig: verifying: /var/cache/dnf/rhel-9.8.0-baseos-f47b1846dcc4d7f2/packages/gnupg2-2.3.3-5.el9_7.x86_64.rpm
   2026-03-11T13:44:52+0100 DEBUG Multisig: verification result: All signatures for gnupg2-2.3.3-5.el9_7.x86_64.rpm successfully verified (code=0)

   検証済みの特定の署名のリストを確認する必要がある場合は、次のステップを参照してください。

3. OpenPGP 証明書が pqrpm データベースにインポートされていることを確認してください。

   $ /usr/lib/pqrpm/bin/rpmkeys -l

   fd431d51-4ae0493b: Red Hat, Inc. (release key 2) <security@redhat.com> public key
   5a6340b3-6229229e: Red Hat, Inc. (auxiliary key 3) <security@redhat.com> public key
   05707a62-68e6a1f3: Red Hat, Inc. (release key 4) <security@redhat.com> public key

   DNF リポジトリーの設定ファイルに証明書を追加した場合、それらはパッケージのインストールが正常に完了した後にのみインポートされることに注意してください。