2.1.4.2 GnuPG を使用した署名確認

パッケージの完全性および信憑性を確認する別の方法は、暗号署名を使用するものです。これは、MD5 チェックサムを使用するより信頼性が高いですが、手間がかかります。

MySQL のダウンロード可能なパッケージは、GnuPG (GNU Privacy Guard) を使用して署名されます。 GnuPG は、Phil Zimmerman 氏の周知の Pretty Good Privacy (PGP) のオープンソース版です。ほとんどの Linux の配布にはデフォルトで GnuPG がインストールされています。それ以外の場合は、GnuPG の詳細およびそれを取得してインストールする方法について、http://www.gnupg.org/ を参照してください。

特定のパッケージの署名を確認するには、まず公開 GPG ビルド鍵を取得する必要があります。これは http://pgp.mit.edu/ からダウンロードできます。取得する鍵は [email protected] という名前です。または、次のテキストから直接キーをコピーして貼り付けることもできます:

ビルド鍵を個人の公開 GPG 鍵リングにインポートするには、gpg --import を使用します。たとえば、鍵を mysql_pubkey.asc ファイルに保存した場合、インポートコマンドは次のようになります。

shell> gpg --import mysql_pubkey.asc
gpg: key 5072E1F5: public key "MySQL Release Engineering
<[email protected]>" imported
gpg: Total number processed: 1
gpg:               imported: 1
gpg: no ultimately trusted keys found

公開鍵 ID の 5072E1F5 を使用して、公開鍵サーバーから鍵をダウンロードすることもできます。

shell> gpg --recv-keys 5072E1F5
gpg: requesting key 5072E1F5 from hkp server keys.gnupg.net
gpg: key 5072E1F5: "MySQL Release Engineering <[email protected]>"
1 new user ID
gpg: key 5072E1F5: "MySQL Release Engineering <[email protected]>"
53 new signatures
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:           new user IDs: 1
gpg:         new signatures: 53

鍵を RPM 構成にインポートして RPM インストールパッケージを検証する場合、鍵を直接インポートできるはずです。

shell> rpm --import mysql_pubkey.asc

問題が生じた場合、または RPM 固有の情報が必要な場合は、セクション2.1.4.4「RPM を使用した署名確認」を参照してください。

公開ビルド鍵をダウンロードしてインポートしたあと、所望の MySQL パッケージとそれに対応する署名をダウンロードします。これもダウンロードページで入手できます。次の表の例に示すように、署名ファイルの名前は配布ファイルと同じで、拡張子 .asc が付いています。

表 2.1 ソースファイルの MySQL パッケージと署名ファイル

ファイルタイプ	ファイル名
配布ファイル	`mysql-standard-8.0.29-linux-i686.tar.gz`
署名ファイル	`mysql-standard-8.0.29-linux-i686.tar.gz.asc`

両方のファイルが同じディレクトリにあることを確認してから、次のコマンドを実行して配布ファイルの署名を確認します。

shell> gpg --verify package_name.asc

ダウンロードしたパッケージが有効な場合は、次のような Good signature メッセージが表示されます:

shell> gpg --verify mysql-standard-8.0.29-linux-i686.tar.gz.asc
gpg: Signature made Tue 01 Feb 2011 02:38:30 AM CST using DSA key ID 5072E1F5
gpg: Good signature from "MySQL Release Engineering <[email protected]>"

Good signature メッセージは、ファイルの署名が弊社のサイトに記載されている署名と比較して有効であることを示します。しかし、次のような警告が表示される場合もあります。

shell> gpg --verify mysql-standard-8.0.29-linux-i686.tar.gz.asc
gpg: Signature made Wed 23 Jan 2013 02:25:45 AM PST using DSA key ID 5072E1F5
gpg: checking the trustdb
gpg: no ultimately trusted keys found
gpg: Good signature from "MySQL Release Engineering <[email protected]>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: A4A9 4068 76FC BD3C 4567  70C8 8C71 8D3B 5072 E1F5

セットアップおよび構成に依存するので、これは正常です。これらの警告の説明は次のとおりです。

gpg: no ultimately trusted keys found: これは、特定の鍵がユーザーまたはユーザーの信頼する Web によって「最終的に信頼されて」いないことを意味します。これは、ファイルの署名を確認する目的に関しては問題ありません。
WARNING: This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner.: これは、ユーザーの所有している鍵が弊社の本当の公開鍵であることをどの程度信用しているかに言及しています。これは個人的な判断です。理想的なのは MySQL 開発者が鍵を直接手渡すことですが、一般的には鍵はダウンロードされます。ダウンロードは改ざんされていますか? おそらくそうではないでしょう。しかし、その判断はユーザー次第です。信頼網をセットアップするのが、信頼するための 1 つの方法です。

公開鍵を処理する方法の詳細は GPG のドキュメントを参照してください。