Проверка целостности установленных пакетов Debian и Ubuntu с debsums и dpkg --verify

Цель

Выяснить, соответствует ли файл на диске тому, что установил его пакет Debian/Ubuntu, определить пакет-владелец подозрительного файла и восстановить пакет, файлы которого изменили или удалили вне apt/dpkg.

Предварительные условия

apt-get install debsums; метаданные самого dpkg присутствуют по умолчанию, и для --verify, -S или -L дополнительный пакет не нужен.

Шаги

1. Проверьте файлы всех установленных пакетов по контрольным суммам, записанным при сборке: debsums -s (тихий режим, сообщает только о проблемах). debsums описывается как средство проверки «установленных файлов пакетов Debian по спискам контрольных сумм MD5 из /var/lib/dpkg/info/*.md5sums»; оно также может «проверять MD5-суммы установленных пакетов Debian» для одного указанного пакета: debsums <package>.
2. Для второй проверки без дополнительного пакета используйте dpkg --verify [package] (-V), которая сравнивает установленные файлы с данными «в базе dpkg»; в текущем dpkg реально выполняется то же сравнение MD5, а результат выводится в формате, похожем на rpm. Пакеты, в которых не было файла md5sums, нельзя проверить ни одним из этих инструментов; debsums -l выводит их список.
3. Чтобы найти пакет-владелец конкретного файла, например отмеченного выше: dpkg -S /path/to/file. Параметр -S/--search у dpkg-query описан как поиск «пакетов, владеющих файлами, соответствующими заданным шаблонам», в том числе шаблонам оболочки.
4. Чтобы увидеть всё, что установил пакет, и сравнить с фактическим содержимым диска: dpkg -L <package> (--listfiles), выводящая список файлов, установленных из этого пакета.
5. Чтобы восстановить пакет, файлы которого не прошли проверку, принудительно переустановите именно эту версию: apt-get install --reinstall <package>=<version> (сначала узнайте установленную версию через dpkg -l <package>); либо используйте apt-get -y --reinstall install <package> для текущей настроенной версии-кандидата.
6. Повторите debsums <package> или dpkg --verify <package>, чтобы подтвердить исчезновение несоответствия.

Ожидаемый результат

В чистой системе debsums -s и dpkg --verify ничего не выводят; после адресной переустановки ранее отмеченный пакет проходит обе проверки.

Ограничения и основание проверки

Ни один инструмент не обнаруживает файлы, которыми dpkg никогда не управлял, либо пакеты, установленные с параметрами --force-*, обошедшими учёт самого dpkg. Переустановка не заменяет незаметно локально изменённые конфигурационные файлы: dpkg сохраняет их или спрашивает; она также не восстанавливает удалённый conffile, если не указан -o Dpkg::Options::=--force-confmiss. В любом случае создайте резервную копию изменённых conffile перед переустановкой.