验证软件包的正确性

 

2.1.4. 通过MD5校验和或GnuPG验证软件包的完整性

下载了适合你的需求的 MySQL安装软件包并在安装前，你应当确保它的完整性，没有被篡改。 MySQL AB提供了 3种完整性检查方法：

·         MD5校验和

·         使用GnuPG、GNU Privacy Guard对签名进行加密

·         对于RPM软件包，使用内嵌式RPM完整性验证机制

下面的章节描述了如何使用这些方法。

如果你注意到MD5校验和与GPG签名不匹配，首先应尝试多次下载相关安装软件包，可以从其它镜像站点。如果你反复尝试仍不能成功验证安装软件包的完整性，请将此类问题通知给我们，包括完整的安装软件包名和你使用的下载站点，在<webmaster@mysql.com>或<build@mysql.com>。不要使用缺陷-报告机制来报告下载问题。

2.1.4.1. 验证MD5校验和

下载MySQL安装软件包后，你应当确保它的MD5校验和与提供的MySQL下载页上的相匹配。每个安装软件包有唯一的校验和，可以用下面的命令来验证，其中package_name是你下载的安装软件包的名称：

shell> md5sum package_name

示例：

  shell> md5sum mysql-st和ard-5.1.2-alpha-linux-i686.tar.gz

  aaab65abbec64d5e907dcd41b8699945  mysql-st和ard-5.1.2-alpha-linux-i686.tar.gz

你应当验证结果校验和(十六进制数字字符串)与下载页上相关安装软件包下面显示的校验和相匹配。

注释：一定要验证归档文件(例如，.zip或.tar.gz文件)的校验和，而不是其中包括的文件。

请注意并非所有操作系统支持md5sum命令。在一些操作系统上，只是称为md5，另一些根本不装载它。在Linux中，它是GNU Text Utilities安装软件包的一部分，适合各种平台。可以从http：//www.gnu.org/software/textutils/下载源码。如果你已经安装了OpenSSL，还可以使用命令openssl md5 package_name。http：//www.fourmilab.ch/md5/提供了DOS/Windows使用的md5命令行实用工具。winMd5Sum是一个图形MD5检查工具，可以从http：//www.nullriver.com/index/products/winmd5sum获得。

2.1.4.2. 通过GnuPG进行签名检查

验证安装软件包完整性和真实性的另一个方法是使用加密签名。这比使用MD5校验和更可靠，但是需要更多的工作。

MySQL AB用GnuPG(GNU Privacy Guard)对下载MySQ软件包进行签名。GnuPG是开放源码，不同于Phil Zimmermann的闻名的Pretty Good Privacy (PGP)。关于GnuPG和如何获得并安装到你的系统的详细信息，请参见http：//www.gnupg.org/。大多数Linux分发版装有默认安装的GnuPG。关于GnuPG的详细信息，参见 http：//www.openpgp.org/。

要想验证具体安装软件包的签名，你首先需要获得MySQL AB公共GPG构建密钥的拷贝。可以从http：//www.keyserver.net/下载密钥。你想要获得的密钥名为build@mysql.com。另外，可以从下面的文本直接剪切并粘贴密钥：

Key ID:

pub  1024D/5072E1F5 2003-02-03

     MySQL Package signing key (www.mysql.com) <build@mysql.com>

Fingerprint: A4A9 4068 76FC BD3C 4567  70C8 8C71 8D3B 5072 E1F5

Public Key (ASCII-armored):

-----BEGIN PGP PUBLIC KEY BLOCK-----

Version: GnuPG v1.0.6 (GNU/Linux)

Comment: For info see http://www.gnupg.org

mQGiBD4+owwRBAC14GIfUfCyEDSIePvEW3SAFUdJBtoQHH/nJKZyQT7h9bPlUWC3

RODjQReyCITRrdwyrKUGku2FmeVGwn2u2WmDMNABLnpprWPkBdCk96+OmSLN9brZ

fw2vOUgCmYv2hW0hyDHuvYlQA/BThQoADgj8AW6/0Lo7V1W9/8VuHP0gQwCgvzV3

BqOxRznNCRCRxAuAuVztHRcEAJooQK1+iSiunZMYD1WufeXfshc57S/+yeJkegNW

hxwR9pRWVArNYJdDRT+rf2RUe3vpquKNQU/hnEIUHJRQqYHo8gTxvxXNQc7fJYLV

K2HtkrPbP72vwsEKMYhhr0eKCbtLGfls9krjJ6sBgACyP/Vb7hiPwxh6rDZ7ITnE

kYpXBACmWpP8NJTkamEnPCia2ZoOHODANwpUkP43I7jsDmgtobZX9qnrAXw+uNDI

QJEXM6FSbi0LLtZciNlYsafwAPEOMDKpMqAK6IyisNtPvaLd8lH0bPAnWqcyefep

rv0sxxqUEMcM3o7wwgfN83POkDasDbs3pjwPhxvhz6//62zQJ7Q7TXlTUUwgUGFj

a2FnZSBzaWduaW5nIGtleSAod3d3Lm15c3FsLmNvbSkgPGJ1aWxkQG15c3FsLmNv

bT6IXQQTEQIAHQUCPj6jDAUJCWYBgAULBwoDBAMVAwIDFgIBAheAAAoJEIxxjTtQ

cuH1cY4AnilUwTXn8MatQOiG0a/bPxrvK/gCAJ4oinSNZRYTnblChwFaazt7PF3q

zIhMBBMRAgAMBQI+PqPRBYMJZgC7AAoJEElQ4SqycpHyJOEAn1mxHijft00bKXvu

cSo/pECUmppiAJ41M9MRVj5VcdH/KN/KjRtW6tHFPYhMBBMRAgAMBQI+QoIDBYMJ

YiKJAAoJELb1zU3GuiQ/lpEAoIhpp6BozKI8p6eaabzF5MlJH58pAKCu/ROofK8J

Eg2aLos+5zEYrB/LsrkCDQQ+PqMdEAgA7+GJfxbMdY4wslPnjH9rF4N2qfWsEN/l

xaZoJYc3a6M02WCnHl6ahT2/tBK2w1QI4YFteR47gCvtgb6O1JHffOo2HfLmRDRi

Rjd1DTCHqeyX7CHhcghj/dNRlW2Z0l5QFEcmV9U0Vhp3aFfWC4Ujfs3LU+hkAWzE

7zaD5cH9J7yv/6xuZVw411x0h4UqsTcWMu0iM1BzELqX1DY7LwoPEb/O9Rkbf4fm

Le11EzIaCa4PqARXQZc4dhSinMt6K3X4BrRsKTfozBu74F47D8Ilbf5vSYHbuE5p

/1oIDznkg/p8kW+3FxuWrycciqFTcNz215yyX39LXFnlLzKUb/F5GwADBQf+Lwqq

a8CGrRfsOAJxim63CHfty5mUc5rUSnTslGYEIOCR1BeQauyPZbPDsDD9MZ1ZaSaf

anFvwFG6Llx9xkU7tzq+vKLoWkm4u5xf3vn55VjnSd1aQ9eQnUcXiL4cnBGoTbOW

I39EcyzgslzBdC++MPjcQTcA7p6JUVsP6oAB3FQWg54tuUo0Ec8bsM8b3Ev42Lmu

QT5NdKHGwHsXTPtl0klk4bQk4OajHsiy1BMahpT27jWjJlMiJc+IWJ0mghkKHt92

6s/ymfdf5HkdQ1cyvsz5tryVI3Fx78XeSYfQvuuwqp2H139pXGEkg0n6KdUOetdZ

Whe70YGNPw1yjWJT1IhMBBgRAgAMBQI+PqMdBQkJZgGAAAoJEIxxjTtQcuH17p4A

n3r1QpVC9yhnW2cSAjq+kr72GX0eAJ4295kl6NxYEuFApmr1+0uUq/SlsQ==

=YJkx

-----END PGP PUBLIC KEY BLOCK-----

你可以使用gpg --import将构建密钥导入你的个人公共GPG钥匙圈（keyring）。例如，如果你把密钥保存到mysql_pubkey.asc文件中，导入命令应为：

shell> gpg --import mysql_pubkey.asc

关于公共密钥如何工作的详细信息，请参阅GPG文档。

下载并导入公共构建密钥后，下载期望的MySQL安装软件包和相应的签名，也可以从下载页上获得。签名文件名与分发版文件相同，有 an .asc扩展名。例如：

分发文件	mysql-st和ard-5.1.2-alpha-linux-i686.tar.gz
签名文件	mysql-st和ard-5.1.2-alpha-linux-i686.tar.gz.asc

确保两个文件保存在同一目录下，运行下面的命令来验证分发文件的签名：

shell> gpg --verify package_name.asc

示例：

  shell> gpg --verify mysql-standard-5.1.2-alpha-linux-i686.tar.gz.asc

  gpg: Signature made Tue 12 Jul 2005 23:35:41 EST using DSA key ID 5072E1F5

  gpg: Good signature from "MySQL Package signing key (www.mysql.com) <build@mysql.com>"

Good signature消息表示所有内容都很正确。你可以忽略任何insecure memory警告。

2.1.4.3. 使用RPM进行签名检查

RPM软件包没有单独的签名。RPM软件包内置GPG签名和MD5校验和。可以运行下面的命令来验证安装软件包：

shell> rpm --checksig package_name.rpm

示例：

shell> rpm --checksig MySQL-server-5.1.2-alpha-0.i386.rpm

MySQL-server-5.1.2-alpha-0.i386.rpm： md5 gpg OK

注释：如果你正使用RPM 4.1，并且出现关于(GPG) NOT OK (MISSING KEYS: GPG#5072e1f5)的抱怨，尽管你已经将MySQL公共构建密钥导入到你自己的GPG钥匙圈，你必须首先将密钥导入到RPM钥匙圈中。RPM 4.1不再使用你的个人GPG钥匙圈(或GPG本身)。RPM 4.1维护自己的钥匙圈，因为它是系统范围的应用程序，而用户GPG公共钥匙圈是具体的用户文件。要想将MySQL公共密钥导入RPM钥匙圈，要首先获得前面章节描述的密钥。然后使用rpm --import导入密钥。例如，如果你的公共密钥保存在mysql_pubkey.asc文件中，应使用下述命令导入公共密钥：

shell> rpm --import mysql_pubkey.asc

如果你需要获得MySQL公共密钥，参见2.1.4.2节，“通过GnuPG进行签名检查”。

如：
[root@lideyong download]# md5sum fcitx-3.0.0rc.tar.bz2
e9da164f48db45afb60093892fd911a9  fcitx-3.0.0rc.tar.bz2
[root@lideyong download]# md5sum gWuBi-0.8-0.2.i386.rpm
fcc163b56aacbab0024a9c1992ca2c15  gWuBi-0.8-0.2.i386.rpm
[root@lideyong download]# rpm --checksig gWuBi-0.8-0.2.i386.rpm
gWuBi-0.8-0.2.i386.rpm: sha1 MD5 NOT OK
[root@lideyong download]# rpm --checksig fcitx-3.1-1mgc.i686.rpm
fcitx-3.1-1mgc.i686.rpm: sha1 md5 OK
[root@lideyong download]# rpm --checksig amaya_wx-9.51-1.i386.rpm
amaya_wx-9.51-1.i386.rpm: sha1 md5 OK
[root@lideyong download]#