apt-get 会自动检查数字签名吗？

Question

我计划在 Ubuntu LTS 8.04 上运行生产服务器，我担心我正在安装的软件包的安全性我想确保 apt-get 下载的软件包没有被篡改。

1. 如何在 ubuntu 中查看与包关联的数字签名？
2. apt-get install、apt-get update、apt-get upgrade 是否在下载、安装软件包时自动检查数字签名，或者我是否需要传递命令行选项才能进行这些检查？
3. 当我使用 apt-get install 安装软件包时，我信任谁，假设该软件包是 ubuntu 主发行版的一部分，我是信任规范、debian 还是开源贡献者？

Answer 1

您相信 Canonical 编译了该程序，因此它没有任何源代码中不明显的篡改，并且他们验证了上传该程序的 ubuntu 开发人员在源代码上的签名，或者 debian 对如果包来自 debian，则上传该包的 debian 开发人员。你信任上传源码包的开发者，当然他不可能彻底审查所有上游代码，所以你也信任所有上游开源贡献者。