如何验证已安装的软件包

Question

在Linux (Debian x64)上，我最近安装了以下软件：

apt-get install the_package_name

APT告诉我，有些包无法通过身份验证，但我忽略了警告，而且还是安装了。

现在，我想检查已安装的软件包是否有效。是否有可能检查“已安装”软件包的真实性？

Answer 1

这个链接给出了一个很好的解释。特别是，本节讨论了如何验证包。

简单地说，当您安装软件包时，系统检查它们是否使用一个已知的密钥进行签名，使用公钥密码。这保证包来自“受信任的”源。在您的示例中，有些包是用未知密钥签名的，因此您选择忽略该警告。

为了回答你的问题，我建议让系统进行所有的真实性检查；这是一项比人类做得好得多的工作。你要做的就是确保你的钥匙是正确的。

请注意，我的解释过于简单化，我松散地使用了“信任”一词；“受信任”来源是保证其密钥安全的来源。如果恶意攻击者掌握Debian包签名的秘密密钥，那么问题要比您的问题大得多。