Como verificar a validade de uma instalação do Ubuntu via debootstrap?

Question

Meu objetivo é configurar uma instalação do Ubuntu Server via debootstrap de outra instalação do Ubuntu e ter certeza de que esta nova instalação é uma instalação correta do Ubuntu sem modificações. Quando eu executo

debootstrap trusty /mnt http://de.archive.ubuntu.com/ubuntu

Eu recebo a resposta

 Valid Release signature (key id 790BC7277767219C42C86F933B4FE6ACC0B21F32)

Mas como essa assinatura de lançamento é verificada? Contra que outra chave? Ou para perguntar de um tipo diferente: Como posso ter certeza de que o pacote baixado para o debootstrap é válido e não foi modificado a caminho?

    

Answer 1

A validade dos pacotes é verificada em relação a um chaveiro que pode ser especificado explicitamente com a opção --keyring=KEYRING de debootstrap (consulte man debootstrap para obter detalhes).

Se omitido, debootstrap usa chaveiros do sistema, que você pode instalar facilmente com [name]-keyring packages em synaptic / apt-get e (apenas um pouco mais complicados) da origem.

Se debootstrap disser que o pacote é válido, há uma grande mudança. Se você desconfiar de debootstrap ou de uma biblioteca que ele usa para a validação, você precisa executar uma análise de segurança sofisticada com base no código-fonte.

    

Answer 2

Se alguém pesquisar mais detalhes: Eu resolvi meu problema com as impressões digitais dos arquivos de chave (você pode obtê-los com apt-key finger ) e os comparei com outros sistemas (seguros).

Talvez seja útil esse tópico: Como eu sei o meu atualizações do sistema são confiáveis?