4.9. 签名 RPM 软件包

流程

1. 生成一个 OpenPGP 密钥对：

   $ gpg --gen-key

   Copy to Clipboard Toggle word wrap

2. 检查生成的密钥对：

   $ gpg --list-keys

   Copy to Clipboard Toggle word wrap

3. 导出公钥：

   $ gpg --export -a '<public_key_name>' > RPM-GPG-KEY-pmanager

   Copy to Clipboard Toggle word wrap

验证

1. 将 导出的 OpenPGP 公钥 导入到 RPM keyring 中：

   # rpmkeys --import RPM-GPG-KEY-pmanager

   Copy to Clipboard Toggle word wrap

2. 使用 GnuPG 显示密钥 ID：

   $ gpg --list-keys
   [...]
   pub   rsa3072 2025-05-13 [SC] [expires: 2028-05-12]
         A8AF1C39AC67A1501450734F6DE8FC866DE0394D
   [...]

   Copy to Clipboard Toggle word wrap

   密钥 ID 是命令输出中的 40 个字符的字符串，例如 A8AF1C39AC67A1501450734F6DE8FC866DE0394D。

3. 验证 RPM 文件是否有相应的签名：

   $ rpm -Kv <package_name>.rpm
   <package_name>.rpm:
       Header V4 RSA/SHA256 Signature, key ID 6de0394d: OK
       Header SHA256 digest: OK
       Header SHA1 digest: OK
       Payload SHA256 digest: OK
       MD5 digest: OK

   Copy to Clipboard Toggle word wrap

   签名密钥 ID 与 OpenPGP 密钥 ID 的最后部分匹配。

流程

1. 安装 Sequoia PGP 工具：

   # dnf install sequoia-sq

   Copy to Clipboard Toggle word wrap

2. 生成一个 OpenPGP 密钥对：

   $ sq key generate --own-key --userid <key_name>

   Copy to Clipboard Toggle word wrap

3. 检查生成的密钥对：

   $ sq key list

   Copy to Clipboard Toggle word wrap

4. 导出公钥：

   $ sq cert export --cert-userid '<key_name>' > RPM-PGP-KEY-pmanager

   Copy to Clipboard Toggle word wrap

流程

1. 将 macros.rpmsign-sequoia 文件复制到 /etc/rpm 目录中：

   # cp /usr/share/doc/rpm/macros.rpmsign-sequoia /etc/rpm/

   Copy to Clipboard Toggle word wrap

2. 从密钥列表的输出中获取有效的 OpenPGP 密钥指纹值：

   $ sq cert list --cert-userid '<key_name>'
    - 7E4B52101EB3DB08967A1E5EB595D12FDA65BA50
      - created 2025-05-13 10:33:29 UTC
      - will expire 2028-05-13T03:59:50Z
   
      - [    ✓    ] <key_name>

   Copy to Clipboard Toggle word wrap

   密钥指纹是输出的第一行上的 40 个字符的字符串，例如 7E4B52101EB3DB08967A1E5EB595D12FDA65BA50。

3. 在 $HOME/.rpmmacros 文件中定义 %_gpg_name 宏，如下所示：

   %_gpg_name <key_fingerprint>

   Copy to Clipboard Toggle word wrap

   请注意，您也可以使用完整的密钥 ID，而不是指纹。

   注意

   与 GnuPG 不同，Sequoia PGP 仅接受完整的密钥 ID 或指纹。

验证

1. 将 导出的 OpenPGP 公钥 导入到 RPM keyring 中：

   # rpmkeys --import RPM-PGP-KEY-pmanager

   Copy to Clipboard Toggle word wrap

2. 显示签名密钥的密钥指纹：

   $ sq key list --cert-userid <key_name>
    - 7E4B52101EB3DB08967A1E5EB595D12FDA65BA50
      - user ID: <key_name> (authenticated)
      - created 2025-05-13 10:33:29 UTC
      - will expire 2028-05-13T03:59:50Z
      - usable for signing
      - @softkeys/7E4B52101EB3DB08967A1E5EB595D12FDA65BA50: available, unlocked
   
      - 78E56DD2E12E02CFEEA27F8B9FE57972D6BCEA6F
        - created 2025-05-13 10:33:29 UTC
        - will expire 2028-05-13T03:59:50Z
        - usable for decryption
        - @softkeys/7E4B52101EB3DB08967A1E5EB595D12FDA65BA50: available, unlocked
      - C06E45F8ABC3E59F44A9E811578DDDB66422E345
        - created 2025-05-13 10:33:29 UTC
        - will expire 2028-05-13T03:59:50Z
        - usable for signing
        - @softkeys/7E4B52101EB3DB08967A1E5EB595D12FDA65BA50: available, unlocked
      - E0BD231AB350AD6802D44C0A270E79FFC39C3B25
        - created 2025-05-13 10:33:29 UTC
        - will expire 2028-05-13T03:59:50Z
        - usable for signing
        - @softkeys/7E4B52101EB3DB08967A1E5EB595D12FDA65BA50: available, unlocked

   Copy to Clipboard Toggle word wrap

   密钥指纹通常是 sq key list --cert-userid <key_name> 命令输出中的一个签名子密钥，例如 E0BD231AB350AD6802D44C0A270E79FFC39C3B25。

3. 验证 RPM 文件是否有相应的签名，例如：

   $ rpm -Kv <package_name>.rpm
   <package_name>.rpm:
       Header V4 EdDSA/SHA512 Signature, key ID c39c3b25: OK
       Header SHA256 digest: OK
       Header SHA1 digest: OK
       Payload SHA256 digest: OK
       MD5 digest: OK

   Copy to Clipboard Toggle word wrap

   签名密钥 ID 与密钥指纹的最后部分匹配。