CentOS/FAQ/どこで CentOS 4 用のパッケージ署名鍵を入手できますか？

CentOS/FAQ

CentOS 4 について †

どこで CentOS 4 用のパッケージ署名鍵を入手できますか？ (2005 年 5 月 4 日) †

　まずはじめに CentOS RPM 認証鍵をインストールする必要があります。基本システムにはセキュリティ上の理由からインストールされていません。理由は、システムを構築する前に鍵の正当性を検証する機会を設けるためです。

　RPM コマンドを使い CentOS ミラーサイトより鍵を入手します：

rpm --import http://mirror.centos.org/centos/RPM-GPG-KEY-CentOS-4

　（root ユーザ権限で）インストール(インポート)された鍵の情報を元に、パッケージを取り込む時に、署名が正当なものかどうかを確認するために用います。

　鍵をインストール時に用いた ISO メディアからインポートする方が、より安全な方法だと記述しておきます。それぞれの ISO メディアのルートディレクトリ（最上位）に RPM-PGP-KEY ファイルが置いてあり、ディスク1の場合は RPM-GPG-KEY-CentOS-4 といった名前で置いてあります。

　CD-ROM メディアから読み込む事がどうして安全なのかといえば、CD-ROM は書き換え不可能なメディア（記録媒体）だからです。ISO ファイルにある MD5SUM が同時に鍵の正当性を証明します。念のため、鍵は以下の通りです：

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1.2.1 (GNU/Linux)
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=Qsai
-----END PGP PUBLIC KEY BLOCK-----

　もし鍵の正当性について問題が発生する場合、どうか開発陣に御連絡ください：偽装されたキー情報を指摘された場合、あなたへの連絡先と詳細な情報を security@centos.org にお送り下さい。

　GPG 鍵を入手する方法：

rpm --import /usr/share/doc/centos-release-4/RPM-GPG-KEY-centos4

　あるいは

rpm --import http://mirror.centos.org/centos/RPM-GPG-KEY-CentOS-4

　あるいは

rpm --import /path/to/key
(サーバ内のどこかに鍵をおいている場合)

　また、root ユーザ権限で実行する必要な事も忘れないでください。

原文 - Where do I get the package signing key for CentOS 4?

http://www.centos.org/modules/smartfaq/faq.php?faqid=30