安装前外部 deb 包的 SHA1 验证

Question

我有一个 .deb 文件及其 SHA1 校验和信息。

在安装之前如何使用此校验和检查 .deb 文件的真实性？

谷歌上有很多关于“如何验证已安装软件包的校验和”的条目，这些条目毫无用处，但没有一个可以在安装前进行检查。如果您能解释为什么人们在安装文件后检查文件，那就加分了。

Answer 1

要检查您的包是否与您拥有的 SHA1 总和匹配，请运行

sha1sum /path/to/package.deb

并比较输出。

如果您有以下形式的文件中的总和

sum  package.deb

你可以sha1sum -c shafile直接运行查看总和。

要确定包的真实性，您需要确定 SHA1 总和的真实性。

人们出于各种原因在安装后检查 MD5 和；我认为有意义的是检查非自愿腐败（例如磁盘错误或操作员错误之后）。安装后可用的 MD5 和在包中提供并存储在本地，因此它们不提供任何外部身份验证。

Answer 2

您可以用来sha1sum file.deb检查deb包裹

人们在安装文件后会检查文件。

如果文件的 SUM 被修改，人们可能会重新安装/删除此软件包。这debsums实用程序可用于完成此任务。