安装应用程序时 OpenBSD 中是否有任何 GPG 检查？

Question

就像在普通的 Linux 发行版下一样 - 是否有任何检查来确保下载的软件包确实是镜像服务器上的软件包？

Answer 1

获取的包pkg_add来自官方镜像站点已签名，pkg_add实用程序将自动根据系统上可用的密钥检查签名。

从这pkg_add​:

 If a package is digitally signed:

 •   pkg_add checks that its signature is valid and that the signature was
     emitted by a valid signing key, as stored in /etc/signify/*-pkg.pub,

 •   pkg_add verifies that the compressed package data matches the
     signature, before it decompresses and unpacks files.

签名不是使用 GnuPG 检查的，而是使用本机检查的signify公用事业。

---

2011 年的旧（过时）答案：

不是，没有。但请从 openbsd-misc 列表中查看这些线程：

• 包裹完整性、安全性和检查。 .... 他们在哪里 ？
• 包裹和端口偏执

Answer 2

现在您可以在更新系统时执行一些检查！检查signify这里提到的命令： https://www.openbsd.org/faq/faq4.html#下载

您可以从以下位置获取 SHA256.sig 文件官方镜子，根据您的版本和架构。

更新时，您需要在启动（并选择(U)pgrade）之前检查新版本的内核签名。之后，更新程序会自动对其安装的系统的其余部分进行签名检查。