Python3を使ってrpm GPG署名をチェックするには？

Question

ローカルのArtifactoryインスタンスでローカルのCentOSミラーを作成する作業をしており、リモートとローカルリポジトリの違いをチェックし、それに応じてローカルのものを更新するPython3スクリプトを作成しました。

必要に応じて、ローカルのミラーに追加する前に、ダウンロードしたrpmパッケージの有効性をチェックするステップを追加する必要があります。

"rpm -K"（CentOS GPGキーをインポートした後）を呼び出すことでこれを行うことができましたが、おそらく外部パッケージに頼ることなくこれを実装するより良い方法があるのだろうかと思いました。

Answer 1

ここには、*。rpmファイルから「平文」（署名された領域）を抽出する短いシェルスクリプトがあります。これはヘッダー+ペイロードシグネチャー、ヘッダーのみのシグネチャーplaintextは似ていますが、ヘッダーBLOBのみです）。

署名が必要です（rpm-pythonバインディングを使用することができます、以下の注意を参照してください）。パッケージの署名を検証するにはgpgへのPythonバインディングが必要です。

プレーンテキストを検索して署名を取得するために解析が必要な、ダウンロードされた可能性のある改ざんされたパッケージを検証することは、すでに手間のかかるビジネスであることに注意してください。

==============================は/ usr/libに/回転数/ tgpg

#!/bin/sh 

for pkg in $* 
do 
     if [ "$pkg" = "" -o ! -e "$pkg" ]; then 
      echo "no package supplied" 1>&2 
      exit 1 
     fi 

     plaintext=$(mktemp /tmp/tgpg-$$.XXXXXX) 
     detached=$(mktemp /tmp/tgpg-$$.XXXXXX) 

    # --- Extract detached signature 

     rpm -qp -vv --qf '%{siggpg:armor}' $pkg > $detached 

    # --- Figger the offset of header+payload in the package 

     leadsize=96 
     o=$(expr $leadsize + 8) 

     set $(od -j $o -N 8 -t u1 $pkg) 
     il=$(expr 256 \* \(256 \* \(256 \* $2 + $3 \) + $4 \) + $5) 
     dl=$(expr 256 \* \(256 \* \(256 \* $6 + $7 \) + $8 \) + $9) 

     sigsize=$(expr 8 + 16 \* $il + $dl) 
     o=$(expr $o + $sigsize + \(8 - \($sigsize \% 8 \) \) \% 8) 

    # --- Extract header+payload 

     dd if=$pkg ibs=$o skip=1 2>/dev/null > $plaintext 

    # --- Verify DSA signature using gpg 

     gpg --batch -vv --debug 0xfc02 --verify $detached $plaintext 

    # --- Clean up 

     rm -f $detached $plaintext 
    done