Integrität installierter Pakete unter Debian und Ubuntu mit debsums und dpkg --verify prüfen

Ziel

Feststellen, ob eine Datei auf dem Datenträger noch dem entspricht, was das zugehörige Debian/Ubuntu-Paket installiert hat, herausfinden, welchem Paket eine verdächtige Datei gehört, und ein Paket reparieren, dessen Dateien ausserhalb von apt/dpkg verändert oder gelöscht wurden.

Voraussetzungen

apt-get install debsums; die Metadaten von dpkg sind standardmässig vorhanden, für --verify, -S und -L ist kein zusätzliches Paket nötig.

Schritte

1. Die Dateien aller installierten Pakete gegen die beim Bau erfassten Prüfsummen prüfen: debsums -s (still, meldet nur Probleme). debsums wird beschrieben als Werkzeug, das "installed Debian package files against MD5 checksum lists from /var/lib/dpkg/info/*.md5sums" verifiziert; es kann auch "check the MD5 sums of installed Debian packages" für ein einzelnes benanntes Paket ausführen: debsums <package>.
2. Als zweite Prüfung, die kein zusätzliches Paket benötigt, dient dpkg --verify [package] (-V). Es vergleicht die installierten Dateien mit den Angaben "in the dpkg database"; in aktuellem dpkg ist die funktionale Prüfung derselbe MD5-Vergleich, die Ausgabe erfolgt in einem rpm-ähnlichen Format. Pakete ohne md5sums-Datei lassen sich mit keinem der beiden Werkzeuge prüfen; debsums -l listet sie auf.
3. Um herauszufinden, welchem Paket eine bestimmte Datei gehört, etwa eine oben gemeldete: dpkg -S /path/to/file. Die Option -S/--search von dpkg-query ist dokumentiert als Suche "for packages that own files corresponding to the given patterns", einschliesslich Shell-Wildcards.
4. Um alles zu sehen, was ein Paket installiert hat, und es mit dem tatsächlichen Stand auf dem Datenträger zu vergleichen: dpkg -L <package> (--listfiles), das die aus diesem Paket installierten Dateien auflistet.
5. Um ein Paket zu reparieren, dessen Dateien die Prüfung nicht bestehen, genau diese Version erzwungen neu installieren: apt-get install --reinstall <package>=<version> (die installierte Version zuvor mit dpkg -l <package> ermitteln) oder apt-get -y --reinstall install <package> für den aktuell konfigurierten Installationskandidaten.
6. debsums <package> oder dpkg --verify <package> erneut ausführen, um zu bestätigen, dass die Abweichung behoben ist.

Erwartetes Ergebnis

debsums -s und dpkg --verify geben bei einem sauberen System nichts aus; nach einer gezielten Neuinstallation besteht das zuvor gemeldete Paket beide Prüfungen.

Grenzen und Prüfbasis

Keines der Werkzeuge erkennt eine Datei, die nie von dpkg verwaltet wurde, und auch keine Pakete, die mit --force-*-Optionen installiert wurden und damit die eigene Buchführung von dpkg umgangen haben. Eine Neuinstallation ersetzt lokal geänderte Konfigurationsdateien nicht stillschweigend: dpkg behält sie oder fragt nach. Eine gelöschte Konfigurationsdatei (conffile) stellt sie nur wieder her, wenn -o Dpkg::Options::=--force-confmiss angegeben wird. Geänderte conffiles vor jeder Neuinstallation trotzdem sichern.