Comprobar la integridad de los paquetes instalados en Debian y Ubuntu con debsums y dpkg --verify

Objetivo

Averiguar si un archivo en disco sigue coincidiendo con lo que instaló su paquete de Debian/Ubuntu, identificar qué paquete es dueño de un archivo sospechoso, y reparar un paquete cuyos archivos se modificaron o eliminaron fuera de apt/dpkg.

Requisitos previos

apt-get install debsums; los propios metadatos de dpkg están presentes por defecto y no requieren ningún paquete adicional para --verify, -S o -L.

Pasos

1. Comprobar los archivos de cada paquete instalado frente a las sumas de comprobación registradas en el momento de compilarlo: debsums -s (silencioso, solo informa de problemas). debsums se describe como una herramienta que verifica «los archivos de los paquetes Debian instalados frente a las listas de sumas MD5 de /var/lib/dpkg/info/*.md5sums», y que también puede «comprobar las sumas MD5 de los paquetes Debian instalados» para un paquete concreto: debsums <package>.
2. Como segunda comprobación que no requiere ningún paquete adicional, usar dpkg --verify [package] (-V), que compara los archivos instalados con lo registrado «en la base de datos de dpkg»; en las versiones actuales de dpkg, la comprobación funcional es la misma comparación MD5, presentada en un formato similar al de rpm. Ninguna de las dos herramientas puede comprobar los paquetes que no incluyeron un archivo md5sums; debsums -l los enumera.
3. Para averiguar qué paquete es dueño de un archivo concreto, por ejemplo uno señalado antes: dpkg -S /path/to/file. La opción -S/--search de dpkg-query está documentada como una búsqueda de «los paquetes que son dueños de los archivos que coinciden con los patrones indicados», incluidos los comodines de shell.
4. Para ver todo lo que instaló un paquete, y compararlo con lo que realmente hay en disco: dpkg -L <package> (--listfiles), que enumera los archivos instalados por ese paquete.
5. Para reparar un paquete cuyos archivos no pasan la verificación, forzar una reinstalación exactamente de esa versión: apt-get install --reinstall <package>=<version> (averiguar primero la versión instalada con dpkg -l <package>), o apt-get -y --reinstall install <package> para el candidato configurado actualmente.
6. Volver a ejecutar debsums <package> o dpkg --verify <package> para confirmar que la discrepancia ha desaparecido.

Resultado esperado

debsums -s y dpkg --verify no imprimen nada en un sistema limpio; tras una reinstalación dirigida, el paquete previamente señalado pasa ambas comprobaciones.

Límites y base de verificación

Ninguna de las dos herramientas detecta un archivo que nunca estuvo gestionado por dpkg, ni los paquetes instalados con opciones --force-* que eludieron el propio registro de dpkg. Una reinstalación no sustituye silenciosamente los archivos de configuración modificados localmente (dpkg los conserva o pregunta), y no restaura un conffile que se haya eliminado a menos que se indique -o Dpkg::Options::=--force-confmiss. Conviene respaldar los conffiles modificados antes de cualquier reinstalación de todos modos.