(Facoltativo) Verifica della firma di EC2Rescue per Linux

Di seguito si riporta il processo consigliato per la verifica della validità del pacchetto EC2Rescue per Linux per i sistemi operativi basati su Linux.

Quando si esegue il download di un'applicazione da Internet, ti consigliamo di autenticare l'identità dell'autore del software e di controllare che l'applicazione non risulti modificata o danneggiata rispetto alla versione pubblicata. Ciò consente di evitare di installare una versione dell'applicazione contenente un virus o altro malware.

Se dopo aver eseguito la procedura descritta in questo argomento risulta che il software di EC2Rescue per Linux è alterato o danneggiato, non eseguire il file di installazione. In caso contrario, contatta Amazon Web Services.

I file di EC2Rescue per Linux per i sistemi operativi basati su Linux sono firmati usando lo standard di crittografia GnuPG, un'implementazione open source dello standard Pretty Good Privacy (OpenPGP) per le firme digitali sicure. GnuPG (noto anche come GPG) fornisce l'autenticazione e il controllo dell'integrità tramite una firma digitale. AWS pubblica una chiave pubblica e firme che è possibile utilizzare per verificare gli strumenti del pacchetto EC2Rescue per Linux scaricati. Per ulteriori informazioni su PGP e GnuPG (GPG), consulta http://www.gnupg.org.

La prima fase prevede la verifica dell'affidabilità dell'autore del software. Scarica la chiave pubblica dell'autore del software, controlla l'autenticità di tale proprietario e quindi aggiungi la chiave pubblica al keyring. Il keyring è una raccolta di chiavi pubbliche nota. Dopo aver confermato l'autenticità della chiave pubblica, puoi usarla per verificare la firma dell'applicazione.

Installazione degli strumenti GPG

Se il sistema operativo è Linux o Unix, gli strumenti GPG potrebbero essere già installati. Per sapere se gli strumenti sono installati nel sistema, immetti gpg2 al prompt dei comandi. Se gli strumenti GPG sono installati, viene visualizzato un prompt dei comandi GPG. Se gli strumenti GPG non sono installati, verrà visualizzato un messaggio di errore che indica che il comando non è disponibile. Puoi installare il pacchetto GnuPG da un repository.

Per installare gli strumenti GPG su un computer Linux basato su Debian

• Da un terminale, esegui il comando seguente:

  apt-get install gnupg2

Per installare gli strumenti GPG su un computer Linux basato su Red Hat

• Da un terminale, esegui il comando seguente:

  yum install gnupg2

Autenticazione e importazione della chiave pubblica

La successiva fase del processo prevede l'autenticazione della chiave pubblica di EC2Rescue per Linux e la sua aggiunta come chiave affidabile nel keyring GPG.

Per eseguire l'autenticazione e l'importazione della chiave pubblica di EC2Rescue per Linux

1. In un prompt dei comandi, utilizzare il comando seguente per ottenere una copia della chiave pubblica GPG:

   curl -O https://s3.amazonaws.com/ec2rescuelinux/ec2rl.key

2. In un prompt dei comandi, nella directory in cui è stata salvata ec2rl.key, utilizzare il comando seguente per importare la chiave pubblica di EC2Rescue per Linux nel keyring:

   gpg2 --import ec2rl.key

   Il comando restituisce risultati simili ai seguenti:

   gpg: /home/ec2-user/.gnupg/trustdb.gpg: trustdb created
   gpg: key 2FAE2A1C: public key "[e-mail] <EC2 Rescue for Linux>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)

Verifica della firma del pacchetto

Dopo aver installato gli strumenti GPG, avere autenticato e importato la chiave pubblica di EC2Rescue per Linux e avere verificato che la chiave pubblica di EC2Rescue per Linux sia affidabile, puoi verificare la firma dello script di installazione di EC2Rescue per Linux.

Per verificare la firma dello script di installazione di EC2Rescue per Linux

1. Al prompt dei comandi esegui il comando seguente per scaricare il file SIGNATURE per lo script di installazione:

   curl -O https://s3.amazonaws.com/ec2rescuelinux/ec2rl.tgz.sig

2. Verifica la firma utilizzando il comando seguente al prompt dei comandi nella directory in cui hai salvato ec2rl.tgz.sig e il file di installazione EC2Rescue per Linux. Entrambi i file devono essere presenti.

   gpg2 --verify ./ec2rl.tgz.sig

   L'output deve essere simile al seguente:

   gpg: Signature made Thu 12 Jul 2018 01:57:51 AM UTC using RSA key ID 6991ED45
   gpg: Good signature from "[e-mail] <EC2 Rescue for Linux>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: E528 BCC9 0DBF 5AFA 0F6C  C36A F780 4843 2FAE 2A1C
        Subkey fingerprint: 966B 0D27 85E9 AEEC 1146  7A9D 8851 1153 6991 ED45

   Se l'output contiene la frase Good signature from "[e-mail] <EC2 Rescue for Linux>", significa che la firma è stata verificata correttamente ed è possibile eseguire lo script di installazione di EC2Rescue per Linux.

   Se l'output include la frase BAD signature, controlla di avere eseguito la procedura correttamente. Se il problema persiste, contatta Amazon Web Services e non eseguire il file di installazione scaricato in precedenza.

Di seguito sono elencati i dettagli sugli avvisi che potrebbero comparire:

• WARNING: This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner. Questo messaggio fa riferimento al livello di affidabilità valutato personalmente in merito al possesso di una chiave pubblica autentica per EC2Rescue per Linux. In un mondo ideale, l'utente visita un ufficio Amazon Web Services e riceve la chiave personalmente. Tuttavia, la prassi normale è scaricare la chiave da un sito Web. In questo caso, il sito Web è un sito Web di Amazon Web Services.

• gpg2: no ultimately trusted keys found. Questo messaggio indica che la chiave specifica non è ritenuta affidabile da te o da un'altra persona da te considerata affidabile.

Per ulteriori informazioni, consulta http://www.gnupg.org.