展開された Tar ボールの内容を確認する

2.11.2 Linux センサーのリリースでは、すべての Tar ボールコンテンツのデジタル整合性検証が有効になります。

次の手順を実行して、TGZ を展開した後、センサーをインストールする前に整合性を確認します。

前提条件

通常、Linux に事前インストールされている以下の 2 つのツールが必要です。

GnuPG パッケージ (/usr/bin/gpgツール用)
SHA256 チェックサムツール: /usr/bin/sha256sum

さらに、VMware Carbon Black パブリックキーをダウンロードしなければなりません public.asc。

手順

public.asc.gpg ファイルを作成するには、VMware Carbon Black パブリックキーを public.asc としてダウンロードし、dearmor します。
```
gpg --dearmor public.asc
```

含まれている manifest.sha256 ファイルをパブリックキーで確認するには、次の手順を実行します。この手順では、trustdb.gpg ファイルを作成します。このファイルは無視しても問題ありません。

注：次の出力例では、「良好な署名」行がマニフェストを検証します。WARNING 行は無視してかまいません。署名の日付は TGZ 署名日です。

$ gpg --no-default-keyring --homedir . \
--keyring public.asc.gpg \
--verify manifest.sha256.asc manifest.sha256

[Example output:]
gpg: WARNING: unsafe permissions on homedir '/tmp/cb-psc-install'
gpg: Signature made Wed Jun  9 01:49:05 2021 IST
gpg:                using RSA key 485BB0DF6AC57704
gpg: /tmp/cb-psc-install/trustdb.gpg: trustdb created
gpg: Good signature from "bit9build (bit9cs) <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 1853 62D1 D591 FDFA 0C64  7B58 485B B0DF 6AC5 7704

解凍されたファイルの整合性を確認します: $ sha256sum -c manifest.sha256

blades/bladesUnpack.sh: OK
blades/cb-psc-lq-0.9.8200-8200-blade.tar.gz: OK
blades/cb-psc-th-0.9.8200-8200-blade.tar.gz: OK 
cb-psc-sensor-2.11.2-545096.el6.x86_64.rpm: OK
cb-psc-sensor-2.11.2-545096.el7.x86_64.rpm: OK
cb-psc-sensor-2.11.2-545096.el8.x86_64.rpm: OK
install.sh: OK

TGZ から抽出された予期しないファイルを確認します。検証済みの manifest.sha256、public.asc、pubic.asc.gpg、trustdb.gpg、および 2 つのマニフェストファイルにリストされたファイルが表示されます。ディレクトリに追加ファイルが存在すると、TGZ が改ざんされたと表示されます。