1.2. Ich habe gehört, mit Binärpaketen lässt sich jede Menge Unfug treiben. Ist das nicht zu unsicher, eure Pakete zu installieren?
Bevor du ein Paket installierst kannst du es erst mal auf Herz und Nieren überprüfen damit dir nichts untergeschoben wird.
# rpm -qpil --changelog --scripts paketname.rpm | less
Jetzt wird dir angezeigt wer das Paket gebaut hat, was sich seit dem letzten Release getan hat, welche Dateien auf dein System installiert werden und welche Skripte vor oder nach der Installation ausgeführt werden.
Zusätzlich dazu sind alle Pakete signiert, so dass du überprüfen kannst von wem das Paket gebaut wurde, ob es von irgendjemandem anders manipuliert wurde und ob es fehlerfrei heruntergeladen wurde.
Dies kannst du über verschiedene Wege überprüfen: du solltest GnuPG (ab Version 1.x) oder PGP (ab Version 5.x) installiert haben. (PGP Version 2.x funktioniert nicht!)
GNU Privacy Guard Homepage:
http://www.gnupg.org
Pretty Good Privacy Homepage:
http://www.pgpi.net
Als erstes brauchst du die öffentlichen Schlüssel der Packager:
Im Falle von GnuPG:
$ lynx --dump
ftp://ftp.links2linux.de/pub/packman/public-keys.asc | gpg --import
Oder die Datei
ftp://ftp.links2linux.de/pub/packman/public-keys.asc herunterladen und folgendermaßen importieren:
$ gpg --import public-keys.asc
Im Falle von PGP:
$ lynx --dump
ftp://ftp.links2linux.de/pub/packman/public-keys.asc | pgp -fka
Oder die Datei
ftp://ftp.links2linux.de/pub/packman/public-keys.asc herunterladen und folgendermaßen importieren:
$ pgp -ka public-keys.asc
Lesezeichen