Chaves GPG utilizadas pelo Projeto Fedora

Como o Projeto Fedora utiliza as chaves GPG para assinar pacotes

Cada pacote RPM estável que é publicado pelo Projeto Fedora é assinado com uma assinatura GPG. Por padrão, o yum e as ferramentas gráficas de atualização irão verificar essas assinaturas e rejeitar quaisquer pacotes que não sejam assinados ou tenham assinaturas inválidas. Você deve sempre verificar a assinatura de um pacote antes de instala-lo. Essas assinaturas garantem que os pacotes que você instala são os que foram produzidos pelo Projeto Fedora e não foram alterados (acidentalmente ou maliciosamente) por qualquer espelho ou website que esteja fornecendo os pacotes.

Pacotes que podem ser baixados a partir do sistema de construção koji não contém assinaturas, então você deve utiliza-los com cuidado. De maneira semelhante, pacotes muito novos no repositório Rawhide não são necessariamente assinados.

Importando chaves

As chaves estão incluídas no pacote fedora-release, você pode encontra-las no diretório /etc/pki/rpm-gpg. Por favor note que nem todas as chaves neste diretório são usadas pelo Projeto Fedora -- algumas são usadas para assinar pacotes do Red Hat Enterprise Linux ou não são mais utilizadas. Se você usa pacotes do Red Hat Enterprise Linux, consulte https://www.redhat.com/security/team/key. As chaves usadas pelo Fedora são habilitadas na configuração do repositório do yum, então geralmente você não precisa importa-las manualmente para o banco de dados rpm.

Em adição ao pacote fedora-release e esta página, você pode baixar as chaves Fedora a partir de um servidor de chaves público, como keys.gnupg.net.

Para alguns repositórios, como os repositórios com pacotes estáveis e pacotes de teste na configuração padrão, o yum é capaz de encontrar uma chave apropriada para o repositório e pedir a confirmação do usuário antes de importar a chave caso ela ainda não tenha sido importada para o banco de dados rpm.

Você pode importar uma chave para o banco de dados do RPM manualmente utilizando o seguinte comando: 

rpm --import PUBKEY ...

Consulte o manual do rpm para maiores informações.

Se você quer verificar se as chaves instaladas em seu sistema correspondem às chaves listadas aqui, você pode utilizar o GnuPG para verificar se a impressão digital da chave corresponde. Por exemplo: 

$ gpg --quiet --with-fingerprint /etc/pki/rpm-gpg/RPM-GPG-KEY-fedora-11-primary
...
pub  4096R/D22E77F2 2009-01-19 Fedora (11) <fedora@fedoraproject.org>
      Key fingerprint = AEE4 0C04 E345 60A7 1F04  3D7C 1DC5 C758 D22E 77F2

Verificando um pacote

Quando estiver usando a configuração padrão da ferramenta de instalação e atualização de pacotes yum em versões estáveis, a assinatura de cada pacote é verificada antes dele ser instalado. A verificação da assinatura pode ser desativada globalmente ou em um repositório específico com a diretiva gpgcheck. Não substitua a configuração padrão desta diretiva a menos que você tenha uma razão muito boa para fazê-lo.

Se você não usa o yum, você pode verificar a assinatura do pacote usando o seguinte comando 

rpm {-K|--checksig} PACKAGE_FILE ...


Chaves utilizadas atualmente

RPM-GPG-KEY-fedora-12-primary

pub   4096R/57BBCCBA 2009-07-29
      Key fingerprint = 6BF1 78D2 8A78 9C74 AC0D  C63B 9D1C C348 57BB CCBA
uid                  Fedora (12) <fedora@fedoraproject.org>

RPM-GPG-KEY-fedora-11-primary

pub   4096R/D22E77F2 2009-01-19
      Key fingerprint = AEE4 0C04 E345 60A7 1F04  3D7C 1DC5 C758 D22E 77F2
uid                  Fedora (11) <fedora@fedoraproject.org>

RPM-GPG-KEY-fedora-10-primary

pub   1024D/4EBFC273 2008-08-27
      Key fingerprint = 61A8 ABE0 91FF 9FBB F4B0  7709 BF22 6FCC 4EBF C273
uid                  Fedora (10) <fedora@fedoraproject.org>
sub   4096g/C1527A5F 2008-08-27

RPM-GPG-KEY-fedora-test-10-primary

pub   1024D/0B86274E 2008-08-27
      Key fingerprint = C561 3076 7487 7FDF A36D  CA38 92A1 023D 0B86 274E
uid                  Fedora (10 testing) <fedora@fedoraproject.org>
sub   4096g/7645A8D9 2008-08-27

RPM-GPG-KEY-EPEL

pub   1024D/217521F6 2007-03-02 [expires: 2017-02-27]
      Key fingerprint = B940 BE07 7D71 0A28 7D7F  2DD1 119C C036 2175 21F6
uid                  Fedora EPEL <epel@fedoraproject.org>
sub   2048g/B6610DAF 2007-03-02 [expires: 2017-02-27]


Chaves obsoletas

RPM-GPG-KEY-fedora

pub   1024D/4F2A6FD2 2003-10-27
      Key fingerprint = CAB4 4B99 6F27 744E 8612  7CDF B442 69D0 4F2A 6FD2
uid                  Fedora Project <fedora@redhat.com>
sub   1024g/FB939E34 2003-10-27

Os pacotes na mídia de instalação são assinados com esta chave. Os repositórios yum relevantes são fedora, fedora-updates para Fedora 7-9, e core e core-updates para Fedora Core (Versão 6 e anteriores). Consulte http://www.redhat.com/archives/fedora-announce-list/2008-August/msg00012.html para saber porque esta chave é obsoleta.

RPM-GPG-KEY-fedora-test

pub   1024D/30C9ECF8 2003-10-27
      Key fingerprint = 3166 C14A AE72 30D9 3B7A  B2F6 DA84 CBD4 30C9 ECF8
uid                  Fedora Project (Test Software) <rawhide@redhat.com>

Se você participa dos testes de pacotes, esta é a chave que você irá utilizar para verificar os pacotes de teste. Esta chave assina os pacotes que estão no repositório fedora-testing. Consulte http://www.redhat.com/archives/fedora-announce-list/2008-August/msg00012.html para saber porque esta chave é obsoleta.

RPM-GPG-KEY-fedora-8-and-9-primary

pub   1024D/6DF2196F 2008-08-27
      Key fingerprint = 4FFF 1F04 010D EDCA E203  591D 62AE C3DC 6DF2 196F
uid                  Fedora (8 and 9) <fedora@fedoraproject.org>
sub   4096g/9E198F60 2008-08-27

RPM-GPG-KEY-fedora-test-8-and-9-primary

pub   1024D/DF9B0AE9 2008-08-27
      Key fingerprint = C0E7 128E 9072 96CA AE31  78A2 8E69 3B4D DF9B 0AE9
uid                  Fedora (8 and 9 testing) <fedora@fedoraproject.org>
sub   4096g/80E34F98 2008-08-27

RPM-GPG-KEY-fedora-extras

pub   1024D/1AC70CE6 2004-12-14
      Key fingerprint = 5389 DD00 C5BC 5168 12B4  3272 82ED 9504 1AC7 0CE6
uid                  Fedora Project <fedora-extras@fedoraproject.org>
uid                  Fedora Pre Extras Release <pre-extras@fedoraproject.org>
uid                  Fedora Project <fedora-extras@redhat.com>
sub   1024g/4E1A9D43 2004-12-14

Se você está utilizando o Fedora extras com Fedora Core 6, use este pacote a partir do repositório extras. Esta chave não será mais utilizada após o Fedora Core 6 alcançar o fim do ciclo de vida (7 de Dezembro de 2007). Esta chave não está incluída no pacote fedora-release no Fedora 7 e versões posteriores.

RPM-GPG-KEY-legacy

pub   1024D/731002FA 2004-01-19
      Key fingerprint = D66D 121F 9784 5E7B 2757  8C46 108C 4512 7310 02FA
uid                  Fedora Legacy (http://www.fedoralegacy.org) <secnotice@fedoralegacy.org>
sub   2048g/D12E351D 2004-01-19

Esta chave foi utilizada por pacotes que foram lançados pelo projeto Fedora Legacy para atualizar versões que alcançaram o fim do ciclo de vida oficial. O projeto Fedora Legacy não existe mais, então esta chave não será mais utilizada para assinar pacotes. Esta chave não está incluída no pacote fedora-release no Fedora 7 e versões posteriores.