RPM包強制簽名？

Question

是否必須簽署RPM？不簽署RPM會導致分發或上傳到中央存儲庫的任何問題？

Answer 1

簽名軟件包不是強制性的，但建議用於完整性驗證。如果您正在開發一個包含在大型現有存儲庫（例如EPEL，RPM Fusion等）中的軟件包，那麼他們將在發佈軟件包時使用它們的密鑰對軟件包進行簽名。

Answer 2

最近（幾年）yum配置默認情況下需要對RPM進行簽名。您當然可以使用覆蓋默認（禁用GPG檢查），使用--nogpgcheck選項（如Fedora forum中所述）。所以它不是技術上的是強制性的，但管理策略（例如Red Hat的客戶）可能會禁止該解決方法。紅帽在documentation中給予支持。

實際上，您可以使用您自己的gpg簽名（詳見Thomas Chung's blog）和使用rpm --addsign簽署任何包裹。百勝將同其他任何簽名一樣接受。

除了初始安裝之外，簽名在驗證軟件包（使用rpm -V安裝後檢查更改）時很有用。如果發現差異，如果rpm -qi顯示意外（或缺失）簽名，則會證明可能會篡改軟件包。

如果您爲自己單獨安裝，這些問題可能不是很有趣。