Chiavi GPG usate dal progetto Fedora

Come il progetto Fedora usa le chiavi GPG per firmare i pacchetti

Ogni pacchetto RPM stabile pubblicato dal Fedora Project viene firmato con una firma GPG. Per impostazione predefinita, yum e lo strumento grafico di aggiornamento del software verificano in automatico queste firme e rifiutano l'installazione dei pacchetti che non sono firmati o hanno firme non valide. Dovrete sempre verificare la firma di un pacchetto prima di installarlo. Queste firme assicurano che il pacchetto che si sta installando sia stato prodotto dal Fedora Project e che non sia stato alterato (accidentalmente o maliziosamente) da qualche mirror o altro sito web che fornisca il pacchetto.

I pacchetti che si possono scaricare dal sistema di compilazione koji non contengono firme, perciò vanno usati con attenzione. In maniera analoga, i pacchetti bleeding-edge in Rawhide non sono necessariamente firmati.

Importare le chiavi

Le chiavi sono incluse nel pacchetto fedora-release, si possono trovare nella cartella /etc/pki/rpm-gpg. Da notare che non tutte le chiavi di questa cartella sono usate dal progetto Fedora -- alcune sono usate per firmare i pacchetti di Red Hat Enterprise Linux, altre non sono usate per niente. Se si usano pacchetti del Red Hat Enterprise Linux vedere https://www.redhat.com/security/team/key. Le chiavi usate da Fedora sono abilitate nella configurazione dei repository di yum, così non si ha la necessità di importarle manualmente nel database.

In aggiunta al pacchetto fedora-release e a questa pagina web, puoi scaricare le chiavi di Fedora da un server di chiavi pubblico, come keys.gnupg.net.

Per alcuni repositori, come i repositori con pacchetti stabili ed in test nella configurazione predefinita, yum è capace di trovare una chiave appropriata per il repositorio e chiedere conferma all'utente prima di importare la chiave se non è stata già importata nel database di rpm.

Potrete sempre importare una chiave nel database di RPM a mano usando il seguente comando: 

rpm --import PUBKEY ...

Per maggiori informazioni fare riferimento al manuale di rpm.

Se volete verificare che le chiavi installate sul vostro sistema coincidano con le chiavi qui elencate, potete usare GnuPG per verificare che le fingerprint delle chiavi coincidano. Per esempio: 

$ gpg --quiet --with-fingerprint /etc/pki/rpm-gpg/RPM-GPG-KEY-fedora-11-primary
...
pub  4096R/D22E77F2 2009-01-19 Fedora (11) <fedora@fedoraproject.org>
      Key fingerprint = AEE4 0C04 E345 60A7 1F04  3D7C 1DC5 C758 D22E 77F2

Verificare un pacchetto

Quando si usa la configurazione predefinita per l'aggiornamento dei pacchetti e lo strumento di installazione di yum nelle versioni stabili, viene verificata la firma di ogni pacchetto prima dell'installazione. La verifica della firma può essere attivata e disattivata globalmente o per specifici repositori con le direttive di gpgcheck. Non sovrascrivete il settaggio iniziale delle direttive fin quando non avete una buona ragione per farlo.

Se non utilizzate yum, potete controllate la firma dei pacchetti usando il comando seguente 

rpm {-K|--checksig} PACKAGE_FILE ...


Chiavi attualmente usate

RPM-GPG-KEY-fedora-12-primary

pub   4096R/57BBCCBA 2009-07-29
      Key fingerprint = 6BF1 78D2 8A78 9C74 AC0D  C63B 9D1C C348 57BB CCBA
uid                  Fedora (12) <fedora@fedoraproject.org>

RPM-GPG-KEY-fedora-11-primary

pub   4096R/D22E77F2 2009-01-19
      Key fingerprint = AEE4 0C04 E345 60A7 1F04  3D7C 1DC5 C758 D22E 77F2
uid                  Fedora (11) <fedora@fedoraproject.org>

RPM-GPG-KEY-fedora-10-primary

pub   1024D/4EBFC273 2008-08-27
      Key fingerprint = 61A8 ABE0 91FF 9FBB F4B0  7709 BF22 6FCC 4EBF C273
uid                  Fedora (10) <fedora@fedoraproject.org>
sub   4096g/C1527A5F 2008-08-27

RPM-GPG-KEY-fedora-test-10-primary

pub   1024D/0B86274E 2008-08-27
      Key fingerprint = C561 3076 7487 7FDF A36D  CA38 92A1 023D 0B86 274E
uid                  Fedora (10 testing) <fedora@fedoraproject.org>
sub   4096g/7645A8D9 2008-08-27

RPM-GPG-KEY-EPEL

pub   1024D/217521F6 2007-03-02 [expires: 2017-02-27]
      Key fingerprint = B940 BE07 7D71 0A28 7D7F  2DD1 119C C036 2175 21F6
uid                  Fedora EPEL <epel@fedoraproject.org>
sub   2048g/B6610DAF 2007-03-02 [expires: 2017-02-27]


Chiavi obsolete

RPM-GPG-KEY-fedora

pub   1024D/4F2A6FD2 2003-10-27
      Key fingerprint = CAB4 4B99 6F27 744E 8612  7CDF B442 69D0 4F2A 6FD2
uid                  Fedora Project <fedora@redhat.com>
sub   1024g/FB939E34 2003-10-27

I pacchetti sul media di installazione sono firmati con questa chiave. I repositori yum più importanti sono fedora, fedora-updates per Fedora 7-9, e core e core-updates per Fedora Core (Versione 6 e precedenti). Vedere http://www.redhat.com/archives/fedora-announce-list/2008-August/msg00012.html per sapere perché questa chiave è obsoleta.

RPM-GPG-KEY-fedora-test

pub   1024D/30C9ECF8 2003-10-27
      Key fingerprint = 3166 C14A AE72 30D9 3B7A  B2F6 DA84 CBD4 30C9 ECF8
uid                  Fedora Project (Test Software) <rawhide@redhat.com>

Se partecipate al collaudo dei pacchetti, questa è la chiave che userete per verificare i pacchetti sotto test. Questa chiave firma i pacchetti contenuti nel repositorio fedora-testing. Vedere http://www.redhat.com/archives/fedora-announce-list/2008-August/msg00012.html per sapere perché questa chiave è obsoleta.

RPM-GPG-KEY-fedora-8-and-9-primary

pub   1024D/6DF2196F 2008-08-27
      Key fingerprint = 4FFF 1F04 010D EDCA E203  591D 62AE C3DC 6DF2 196F
uid                  Fedora (8 and 9) <fedora@fedoraproject.org>
sub   4096g/9E198F60 2008-08-27

RPM-GPG-KEY-fedora-test-8-and-9-primary

pub   1024D/DF9B0AE9 2008-08-27
      Key fingerprint = C0E7 128E 9072 96CA AE31  78A2 8E69 3B4D DF9B 0AE9
uid                  Fedora (8 and 9 testing) <fedora@fedoraproject.org>
sub   4096g/80E34F98 2008-08-27

RPM-GPG-KEY-fedora-extras

pub   1024D/1AC70CE6 2004-12-14
      Key fingerprint = 5389 DD00 C5BC 5168 12B4  3272 82ED 9504 1AC7 0CE6
uid                  Fedora Project <fedora-extras@fedoraproject.org>
uid                  Fedora Pre Extras Release <pre-extras@fedoraproject.org>
uid                  Fedora Project <fedora-extras@redhat.com>
sub   1024g/4E1A9D43 2004-12-14

Se state usando Fedora Extras con Fedora Core 6, usate questo pacchetto dal repositorio extras. Questa chiave non verrà più usata dopo che Fedora Core 6 e gli Extra raggiungeranno la EOL (7 dicembre 2007). Questa chiave non è inclusa nel pacchetto fedora-release di Fedora 7 e versioni successive.

RPM-GPG-KEY-legacy

pub   1024D/731002FA 2004-01-19
      Key fingerprint = D66D 121F 9784 5E7B 2757  8C46 108C 4512 7310 02FA
uid                  Fedora Legacy (http://www.fedoralegacy.org) <secnotice@fedoralegacy.org>
sub   2048g/D12E351D 2004-01-19

Questa chiave è stata usata per i pacchetti rilasciati dal progetto Fedora Legacy per aggiornare versioni che hanno raggiunto la loro ufficiale EOL. Il progetto Fedora Legacy non esiste più, quindi nessuna di queste chiavi verrà usata per firmare dei pacchetti. Questa chiave non è inclusa nel pacchetto fedora-release·in Fedora 7 e versioni successive.