Assinatura / verificação de pacotes passa no Ubuntu 16.04 mas falha no Ubuntu 14.04

Question

Estou tentando implementar um processo de assinatura e verificação de pacotes deb.

Isso é o que eu estou fazendo:

1. Gere chaves GPG ( tutorial )

2. Assine o pacote:

   $ dpkg-sig -k F4C52DDF --sign builder client.deb 
   Processing client.deb...
   You need a passphrase to unlock the secret key for user: "Foo Bar <[email protected]>"
   2048-bit RSA key, ID F4C52DDF, created 2018-03-13
   Signed deb client.deb
   

3. Verifique o pacote:

   $ dpkg-sig --verify client.deb
   Processing client.deb
   GOODSIG _gpgbuilder 3910701E538E37B3F93B8FCC7570E500F4C52DDF 1520919017
   

Quando executo estas etapas no Ubuntu 16.04, recebo uma mensagem GOODSIG, mas quando tento executar exatamente essas mesmas etapas no Ubuntu 14.04, recebo BADSIG _gpgbuilder .

Alguém pode me ajudar a descobrir qual é o problema? Eu não consigo encontrar muita ajuda sobre isso.

    

Answer 1

Eu mesmo encontrei a resposta para o caso de alguém se deparar com essa questão.

Acontece que houve um bug no dpkg-sig que foi corrigido posteriormente (detalhes em: link )

O problema é que existem dois tipos de compressão que o dpkg usa ao construir pacotes deb: gz e xz. O bug era que o dpkg-sig apenas verificava o data.tar.gz enquanto verificava a assinatura e falhava / retornava o badsig em data.tar.xz. No meu caso, o método de compactação xz foi usado para construir o pacote que eu estava testando.

O bug agora foi corrigido e o pacote dpkg-sig deb atualizado pode ser baixado de: link

Este problema estava ocorrendo no Ubuntu 14.04, porque ao fazer o download do apt-repository, nós obtemos a versão mais antiga e não corrigida do dpkg-sig. Então, se alguém no Ubuntu 14.04 se depara com esta questão, eles podem simplesmente baixar o pacote deb atualizado da url ftp dada acima e deve resolver o seu problema.

Como nota adicional, você pode verificar o tipo de compactação fazendo o seguinte no terminal:

ar vx packagename.deb

Você deve obter data.tar.gz ou data.tar.xz junto com alguns outros arquivos. Isso deve ajudá-lo a descobrir qual é o tipo de compactação.

Outra referência útil: link