安装应用程序时，OpenBSD 中是否有任何 GPG 检查？

Question

就像在一般的 Linux 发行版下一样 - 是否有任何检查以确保下载的软件包确实是镜像服务器上的软件包？

Answer 1

pkg_add从官方镜像站点获取的软件包已签名，该pkg_add实用程序将根据系统上可用的密钥自动检查签名。

从该pkg_add手册：

 If a package is digitally signed:

 •   pkg_add checks that its signature is valid and that the signature was
     emitted by a valid signing key, as stored in /etc/signify/*-pkg.pub,

 •   pkg_add verifies that the compressed package data matches the
     signature, before it decompresses and unpacks files.

签名不使用 GnuPG 进行检查，而是使用本机signify实用程序进行检查。

2011 年的旧（过时）答案：

不是，没有。但是从 openbsd-misc 列表中看到这些线程：

• 包装完整性、安全性和检查。.... 他们在哪里 ？
• 包裹和港口偏执狂