Verificar a integridade dos pacotes instalados no Debian e no Ubuntu com debsums e dpkg --verify

Objetivo

Descobrir se um arquivo no disco ainda corresponde ao que o pacote Debian/Ubuntu instalou, identificar qual pacote é dono de um arquivo suspeito e reparar um pacote cujos arquivos foram modificados ou apagados fora do apt/dpkg.

Pré-requisitos

apt-get install debsums; os metadados do próprio dpkg já estão presentes por padrão e não exigem nenhum pacote adicional para --verify, -S ou -L.

Passos

1. Verifique os arquivos de todos os pacotes instalados em relação às somas de verificação registradas na construção: debsums -s (modo silencioso, só informa problemas). A descrição do debsums diz que ele verifica "installed Debian package files against MD5 checksum lists from /var/lib/dpkg/info/*.md5sums" e também pode "check the MD5 sums of installed Debian packages" para um único pacote indicado: debsums <package>.
2. Como segunda verificação, que não exige nenhum pacote extra, use dpkg --verify [package] (-V), que compara os arquivos instalados com o que está registrado "in the dpkg database"; no dpkg atual, a verificação funcional é a mesma comparação MD5, apresentada em um formato semelhante ao do rpm. Pacotes que não trouxeram um arquivo md5sums não podem ser verificados por nenhuma das duas ferramentas; debsums -l os lista.
3. Para descobrir qual pacote é dono de um arquivo específico, por exemplo um dos sinalizados acima: dpkg -S /path/to/file. A opção -S/--search do dpkg-query está documentada como busca de "packages that own files corresponding to the given patterns", incluindo curingas do shell.
4. Para ver tudo o que um pacote instalou e comparar com o que de fato está no disco: dpkg -L <package> (--listfiles), que lista os arquivos instalados a partir desse pacote.
5. Para reparar um pacote cujos arquivos falham na verificação, force a reinstalação exatamente dessa versão: apt-get install --reinstall <package>=<version> (descubra antes a versão instalada com dpkg -l <package>), ou apt-get -y --reinstall install <package> para o candidato atualmente configurado.
6. Execute de novo debsums <package> ou dpkg --verify <package> para confirmar que a divergência desapareceu.

Resultado esperado

debsums -s e dpkg --verify não imprimem nada em um sistema íntegro; depois de uma reinstalação direcionada, o pacote antes sinalizado passa nas duas verificações.

Limites e base de verificação

Nenhuma das ferramentas detecta um arquivo que nunca foi gerenciado pelo dpkg, nem pacotes instalados com opções --force-* que contornaram o controle interno do próprio dpkg. Uma reinstalação não substitui em silêncio arquivos de configuração modificados localmente: o dpkg os mantém ou pergunta o que fazer. Também não restaura um conffile que tenha sido apagado, a menos que se use -o Dpkg::Options::=--force-confmiss. De qualquer forma, faça backup dos conffiles modificados antes de qualquer reinstalação.