Vérifier l'intégrité des paquets installés sur Debian et Ubuntu avec debsums et dpkg --verify

Objectif

Déterminer si un fichier présent sur le disque correspond toujours à ce que son paquet Debian/Ubuntu a installé, identifier le paquet auquel appartient un fichier suspect, et réparer un paquet dont des fichiers ont été modifiés ou supprimés en dehors d'apt/dpkg.

Prérequis

apt-get install debsums ; les métadonnées de dpkg sont présentes par défaut et ne nécessitent aucun paquet supplémentaire pour --verify, -S ou -L.

Étapes

1. Vérifier les fichiers de tous les paquets installés par rapport aux sommes de contrôle enregistrées lors de la construction : debsums -s (mode silencieux, seuls les problèmes sont signalés). La description de debsums indique qu'il vérifie « installed Debian package files against MD5 checksum lists from /var/lib/dpkg/info/*.md5sums » et qu'il peut aussi « check the MD5 sums of installed Debian packages » pour un seul paquet nommé : debsums <package>.
2. Comme second contrôle, qui ne demande aucun paquet supplémentaire, utiliser dpkg --verify [package] (-V), qui compare les fichiers installés à ce qui est enregistré « in the dpkg database ». Dans les versions actuelles de dpkg, le contrôle fonctionnel est la même comparaison MD5, présentée dans un format proche de celui de rpm. Les paquets qui n'ont livré aucun fichier md5sums ne peuvent être vérifiés par aucun des deux outils ; debsums -l les énumère.
3. Pour trouver le paquet auquel appartient un fichier précis, par exemple un fichier signalé ci-dessus : dpkg -S /path/to/file. L'option -S/--search de dpkg-query est documentée comme recherchant « for packages that own files corresponding to the given patterns », jokers du shell compris.
4. Pour voir tout ce qu'un paquet a installé, afin de le comparer à ce qui se trouve réellement sur le disque : dpkg -L <package> (--listfiles), qui énumère les fichiers installés par ce paquet.
5. Pour réparer un paquet dont les fichiers échouent à la vérification, forcer la réinstallation de cette version exacte : apt-get install --reinstall <package>=<version> (déterminer d'abord la version installée avec dpkg -l <package>), ou apt-get -y --reinstall install <package> pour le candidat actuellement configuré.
6. Relancer debsums <package> ou dpkg --verify <package> pour confirmer que l'écart a disparu.

Résultat attendu

debsums -s et dpkg --verify n'affichent rien sur un système sain ; après une réinstallation ciblée, le paquet précédemment signalé réussit les deux contrôles.

Limites et base de vérification

Aucun des deux outils ne détecte un fichier qui n'a jamais été géré par dpkg, ni les paquets installés avec des options --force-* ayant contourné la comptabilité interne de dpkg. Une réinstallation ne remplace pas silencieusement les fichiers de configuration modifiés localement : dpkg les conserve ou pose la question. Elle ne restaure pas non plus un conffile supprimé, sauf si -o Dpkg::Options::=--force-confmiss est indiqué. Dans tous les cas, sauvegarder les conffiles modifiés avant toute réinstallation.