説明
rpm --verify を使用して RPM パッケージのインストール中に作成されたファイルをチェックする場合、次の情報が考慮されます。
* タイムスタンプ。RPMはインストールされたファイルの変更時刻を、RPMデータベースに保存されている元の時刻と比較します。インストール後にファイルが変更された場合、タイムスタンプは異なり、RPMはそれをMフラグ1で報告します。
* MD5チェックサム。RPMはインストールされたファイルのMD5チェックサムを計算し、RPMデータベースに保存されている元のチェックサムと比較します。ファイルが何らかの形で変更されている場合、チェックサムは異なり、RPMはそれを5フラグ1で報告します。
* ファイルサイズ。RPMはインストールされたファイルのサイズを、RPMデータベースに保存されている元のサイズと比較します。ファイルが切り捨てられたり、追加されていたりすると、サイズが異なり、RPMはそれをSフラグ1で報告します。
RPM では次の情報は考慮されません。
* inode。RPMはインストールされたファイルのinode番号をチェックしません。inode番号はファイルの識別に信頼性がないためです。ファイルが移動、コピー、またはバックアップ2から復元されると、inode番号は変更される可能性があります。
* GnuPG署名。RPMはインストールされたファイルのGnuPG署名を検証しません。これは、GnuPG署名がRPMパッケージ形式の一部ではないためです。GnuPG署名は、インストール後ではなく、インストール前にRPMパッケージファイルの信頼性と整合性を検証するために使用されます3。
参考文献:
* RPMを使用してインストールされたパッケージを確認する
* inode(7) - Linuxマニュアルページ
* RPMとGPG: Linuxパッケージをインストールする前に検証する方法