Linux包管理器默认仅在校验仓库元数据和安装/升级时触发GPG验证，不自动校验所有已安装包；需分三步覆盖全部：启用全局校验策略、检查已安装包内嵌签名、手动验证关键系统组件。
Linux包管理器本身支持GPG签名验证，但默认只在校验仓库元数据和安装时触发，并不自动检查所有已安装包的签名。要真正落实签名验证，需分层次操作：确认源可信、检查已装包签名、补上关键组件验证。
确认并启用仓库级GPG校验
这是整个信任链的起点。若仓库元数据签名失效，后续所有包都不可信。
- RHEL/CentOS/Fedora（dnf/yum）：检查/etc/yum.repos.d/下每个.repo文件，确保含gpgcheck=1，且gpgkey=指向有效路径（如file:///etc/pki/rpm-gpg/RPM-GPG-KEY-fedora）
- Debian/Ubuntu（apt）：密钥应存于/etc/apt/trusted.gpg.d/目录下，不是靠[trusted=yes]参数生效；运行sudo apt update，观察输出中是否出现gpgv: Signature made...提示
- 密钥必须来自官方渠道——比如从ISO镜像提取、通过HTTPS官网下载并核对SHA256，禁用gpg --recv-keys直连密钥服务器，防止中间人污染
批量验证已安装RPM包签名
RPM格式包可自带内嵌GPG签名头，rpm -K命令能直接检验。
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 列出全部包并逐个校验：rpm -qa | xargs -I {} rpm -K {} 2>/dev/null | grep -v 'gpg OK$'
- 更实用的做法是聚焦核心组件：rpm -K bash coreutils glibc systemd
- 输出中gpg OK表示签名有效；NOKEY说明系统缺少对应公钥；gpg NOT OK则可能包被篡改或签名损坏
针对APT管理的DEB包做来源可信性判断
apt本身不提供类似rpm -K的批量签名检查，但可通过间接方式确认包是否来自可信源。
- 查某个包的安装来源：apt policy package-name，看“Installed”右侧是否显示官方仓库（如o=Ubuntu,a=jammy）
- 验证离线下载的.deb文件：sudo apt install dpkg-sig后，执行dpkg-sig --verify package.deb
- 检查密钥状态：gpg --list-keys --homedir /etc/apt/trusted.gpg.d/或直接ls -l /etc/apt/trusted.gpg.d/，确认密钥文件存在且未过期
手动补验高危系统组件
内核、引导程序、initramfs等不在常规包管理器校验范围内，但一旦被篡改危害极大。
- 检查当前内核镜像签名：sudo sbverify --list /boot/vmlinuz-$(uname -r)（需启用Secure Boot）
- 验证GRUB模块：sudo grub2-file --is-trusted /boot/grub2/x86_64-efi/linuxefi.mod（部分发行版支持）
- 检查initramfs是否由可信内核生成：lsinitrd /boot/initramfs-$(uname -r).img | head -20，结合rpm -V kernel或dpkg --verify linux-image-*交叉比对
