Обновление и верификация dv.net

Обновление dv.net происходит просто и безопасно с использованием стандартных пакетных менеджеров вашей операционной системы, таких как apt, yum или dnf.

Автоматическая верификация обновлений

При каждом обновлении ваш пакетный менеджер автоматически проверяет подлинность пакетов. Для этого используется наш публичный GPG ключ, который гарантирует, что вы получаете подлинное и немодифицированное программное обеспечение. Вам не нужно выполнять никаких ручных действий для проверки подписи — apt, yum и dnf делают это за вас.

Наш публичный ключ доступен по ссылке: https://dv.net/gpg.pub

---

Просмотр и проверка истории обновлений

Вы можете легко просмотреть историю всех установленных обновлений и убедиться в их целостности.

Для Debian / Ubuntu (с использованием apt)

История обновлений хранится в лог-файлах. Вы можете просмотреть их с помощью следующей команды:

grep "upgrade dv.net" /var/log/dpkg.log

Или для более подробного просмотра истории apt:

grep "dv.net" /var/log/apt/history.log

Эти логи показывают, какие версии пакета dv.net были установлены и когда. Так как apt проверяет GPG подписи перед установкой, наличие записи в логе подтверждает успешное обновление.

Для CentOS / RHEL (с использованием yum)

yum предоставляет удобный способ просмотра истории транзакций.

yum history list dv.net

Чтобы получить подробную информацию о конкретном обновлении из списка, используйте:

yum history info <ID_транзакции>

Эта команда покажет детали транзакции, включая информацию о проверке GPG ключа.

Для Fedora и новых версий CentOS / RHEL (с использованием dnf)

dnf использует тот же синтаксис, что и yum, для управления историей.

dnf history list dv.net

Для получения подробной информации о конкретном обновлении:

dnf history info <ID_транзакции>

Как и yum, dnf отобразит полную информацию о транзакции, подтверждая, что пакет прошел проверку подлинности перед установкой.

Проверка непосредственно скачанных пакетов

Даже после установки пакета вы можете проверить его целостность и подлинность. Все скачанные пакеты временно хранятся в кэше пакетного менеджера, где их можно проверить вручную. Это полезно для аудита безопасности или для подтверждения того, что ранее установленный файл не был повреждён.

Для Debian / Ubuntu

По умолчанию APT удаляет .deb файлы после успешной установки. Чтобы APT всегда сохранял скачанные пакеты в кэше, создайте файл конфигурации:

echo 'APT::Keep-Downloaded-Packages "true";' | sudo tee /etc/apt/apt.conf.d/01keep-debs

Все скачанные пакеты будут храниться в директории /var/cache/apt/archives/.

Способ 1: Проверка GPG-подписи (Рекомендуемый)

Самый надёжный способ — это проверить GPG-подпись пакета. Это подтверждает, что пакет был создан именно нами и не был изменён.

# Установите утилиту, если она отсутствует
sudo apt-get install dpkg-sig

# Проверьте подпись конкретного пакета
dpkg-sig --verify /var/cache/apt/archives/dv-updater_*.deb

Если проверка прошла успешно, вы увидите статус GOODSIG, указывающий на подлинность пакета. ✅

Способ 2: Проверка контрольной суммы

Вы также можете проверить целостность файла, сравнив его контрольную сумму (checksum) с той, что указана в метаданных репозитория.

1. Посмотрите официальную контрольную сумму пакета с помощью apt-cache:

   apt-cache show dv-updater

   В выводе найдите строку SHA256:

   Package: dv-updater
   Version: 0.0.11~RC01-nightly-20250717T220501Z
   Architecture: amd64
   Maintainer: dv-updater
   Installed-Size: 14500
   Filename: pool/main/d/dv-updater/dv-updater_0.0.11~RC01-nightly-20250717T220501Z_amd64.deb
   Size: 6025526
   SHA256: 2c60a10e0a55fb22903497280f78ab66e463e10a11b250c3147eb5672cd929bb
   Description: no description given

2. Рассчитайте контрольную сумму для скачанного файла:

   sha256sum /var/cache/apt/archives/dv-updater_0.0.11~RC01-nightly-20250717T220501Z_amd64.deb

3. Сравните результаты. Хэш из вывода команды должен полностью совпадать с хэшем из apt-cache show.

---

Для CentOS / RHEL / Fedora

Пакетные менеджеры dnf и yum по умолчанию сохраняют скачанные пакеты в кэше. Обычно они находятся в поддиректории внутри /var/cache/dnf/.

Способ 1: Проверка GPG-подписи (Рекомендуемый)

Используйте стандартную утилиту rpm для проверки подписи скачанного .rpm файла. Это самый правильный и надёжный метод.

# Находим нужный пакет в кэше и проверяем его
rpm --checksig /var/cache/dnf/dvnet-*/packages/*.rpm

Примечание: путь может незначительно отличаться в зависимости от версии системы. Звёздочка * помогает автоматически найти нужный каталог.

Если подпись в порядке, вывод команды для каждого проверенного пакета будет содержать digests signatures OK.

Способ 2: Проверка контрольной суммы

Этот метод проверяет целостность файла, но не его подлинность.

1. Узнайте официальную контрольную сумму пакета из репозитория:

   dnf repoquery --info dv-processing

   Или для yum:

   repoquery --info dv-processing

   В выводе найдите строку Checksum:

   Name         : dv-processing
   Version      : 0.6.6
   ...
   Checksum Type: sha256
   Checksum     : f019a9564433cacf7a1c307e9a358e43cb9a3325abcdef1234567890abcdef
   ...

2. Рассчитайте контрольную сумму для файла в кэше:

   sha256sum /var/cache/dnf/dvnet-*/packages/dv-processing_0.6.6_linux_amd64.rpm

3. Сравните два значения. Они должны быть идентичны.