No.237パッケージとソフト
GPG key
ジーピージーかぎ・GPG鍵
知識レベル 基礎
答えひとことで
GPG鍵は、配布元が本物かどうかを確認するための鍵です。
RPM との違いGPG鍵はパッケージの署名検証や信頼確認に使う鍵ですくわしく
GPG鍵（GPG key）は、パッケージやリポジトリメタデータに付いた署名を検証するために使われ、改ざんや配布元なりすましの検出に役立ちます。ここで使うのは通常公開鍵であり、署名を作る秘密鍵そのものを配布先へ置くわけではありません。Linuxのパッケージ管理では、この鍵を信頼することで以後の更新を受け入れる仕組みになるため、導入時の確認が重要です。したがってGPG鍵は、暗号の一般論ではなく、ソフトウェア流通の信頼を支える検証鍵として理解するのが適切です。
なぜ大事？
わかると、こうなる
GPG鍵の役割を理解すると、更新前に何を信頼しているのか、どこに改ざん検出の根拠があるのかを説明しやすくなります。
知らないと困る場面
リポジトリ追加、署名検証、鍵更新、配布元確認で重要です。
よくある誤解
GPG鍵は秘密鍵そのものではありません。通常は検証に使う公開鍵を登録します。
どこで出会う？
リポジトリ署名、配布元検証、鍵登録
GPG鍵を登録すると何を信頼することになりますか？
使い方の例
- 新しいリポジトリを追加する前に、配布元のGPG鍵を確認してから信頼対象へ登録する。
まちがえやすい言葉と由来
GPG keyVSRPM
GPG鍵はパッケージの署名検証や信頼確認に使う鍵です。一方、RPMはRPM形式のパッケージとその管理基盤を指す語です。
ことばの地図
関係するコマンド
よくある質問
その鍵で署名されたパッケージやリポジトリ情報を、正当な配布元のものとして検証できる前提を受け入れることになります。
GPG鍵が秘密鍵でない理由を説明できるか
資格試験では
- LPIC-2 201大事パッケージ管理とソフトウェア保守の理解
- LinuC レベル2 201大事パッケージ管理とソフトウェア保守の理解
GPG key を最後まで読みました。
Linux 用語辞典に戻る149 / 512