Metroノード: Metroノードのコード署名検証手順

お客様の環境で署名を検証する方法。

どのmetro nodeリリースでも、ソフトウェア パッケージの整合性と信頼性を検証するために使用される6つのファイルがあります。
 

• リリースに属するパッケージのリストと、sha256 または md5 形式のハッシュを含む 2 つのハッシュファイル。次に例を示します。VPlex-7.0.1.02.00.01-sha256-checksums.txt
• 対応するハッシュ ファイルの暗号署名と、Dellのプライベート キーによって署名された信頼性の証明書をそれぞれ含む2つの署名ファイル。これらのファイルの拡張子は「.sign」です。たとえば、VPlex-7.0.1.02.00.01-sha256-checksums.txt.sign です。
• 公開鍵の署名と信頼性を検証するためのスクリプト。このファイルは「vplex_check_signature」と呼ばれます。
• 証明書の検証に使用される「css-cert.pem」という名前の証明書チェーンファイル。 
• Web から取得した CRL ファイル
• vplex_check_signatureスクリプトによってチェーンに追加されたルートCAファイル。

コード署名の検証を実行するには、次の手順に従います。
 

1. コードに署名した証明書の検証に使用するルートCAおよびCRLファイルを取得します。metroノードでDNSを構成している場合は、システム自体でこの手順を実行します。それ以外の場合は、別のシステムでルートCAとCRLを収集し、メトロ ノードにコピーします。

$ curl https://web.entrust.com/root-certificates/entrust_g2_ca.cer --output entrust_g2_ca.cer
$ curl http://crl.entrust.net/evcs2.crl --output evcs2.crl

2. 「vplex_check_signature」スクリプトの妥当性を確認してください。そのハッシュは次のとおりです。

• MD5:     a06c0093599411be3a81c70b65f3aa68 vplex_check_signature
• SHA1:    b1611f6bb81efe687e21963a020fc30f1fe3787c vplex_check_signature
• ［SHA256］：  0a83dc67dbe2d6ef2872c833548d8c17f8ff3590a4039e52ed3bed1b79538d65 vplex_check_signature

3. この記事の冒頭で説明した 3 つのファイルと同じマシンにルート CA と CRL ファイルをダウンロードし、"vplex_check_signature" スクリプトの整合性を確認したら、スクリプトを実行してコード署名を確認します。

$ ./vplex_check_signature VPlex-<release>-md5-checksums.txt VPlex-<release>-md5-checksums.txt.sign css-cert.pem evcs2.crl entrust_g2_ca.cer
Verified

$ ./vplex_check_signature VPlex-<release>-sha256-checksums.txt VPlex-<release>-sha256-checksums.txt.sign css-cert.pem evcs2.crl entrust_g2_ca.cer
Verified

4. 最後に、ハッシュファイルが改ざんされていないことを確認した後、「vplex_check_hashes」スクリプトを使用して個々のパッケージが変更されていないことを確認できます。このスクリプトのハッシュは次のとおりです。

• MD5:     5e00e8ba9e1d678c4cfe44960508239c vplex_check_hashes
• SHA1:    64d09eea2af149efc21d458ce5754bf2eb48b3e9 vplex_check_hashes
• ［SHA256］：438d38501dc6947f5f125c1bd74d3caa67a5540f4763c66242b6eb03d7f87d76 vplex_check_hashes

$ ./vplex_check_hashes VPlex-<release>-md5-checksums.txt
3b59c2415a29e23e526749943340faa6  VPlex-<release>-management-server-package.tar: Verified
952c9b3b89a6ac701fcb3f0a6ab64b75  VPlex-<release>-director-field-disk-image.tar: Verified
bbdf103f82cddedc80851e3edaf76707  VPlex-<release>-cluster-witness-server.vhd: Verified
c64c8289de5b05074a773a28f0a0d6e9  VPlex-<release>-cluster-witness-server.ova: Verified
8005c0fb66abb95d4e2565b546d96157  VPlex-<release>-manifest.xml: Verified
c70aba3e40f0a1aee4ab65bad62fc036  VPlex-<release>-management-server.iso: Verified
1069e4fdeeb77f41ef497968490956c2  VPlex-<release>-director-firmware-package.tar: Verified
4740964a969acb1502e72752a9dbd223  VPlex-<release>-management-server-field-disk-image.tar: Verified
0cf31f1103f498ce74311979d7972b17  VPlex-<release>.zip: Verified
$ ./vplex_check_hashes VPlex-<release>-sha256-checksums.txt
3b59c2415a29e23e526749943340faa6  VPlex-<release>-management-server-package.tar: Verified
952c9b3b89a6ac701fcb3f0a6ab64b75  VPlex-<release>-director-field-disk-image.tar: Verified
bbdf103f82cddedc80851e3edaf76707  VPlex-<release>-cluster-witness-server.vhd: Verified
c64c8289de5b05074a773a28f0a0d6e9  VPlex-<release>-cluster-witness-server.ova: Verified
8005c0fb66abb95d4e2565b546d96157  VPlex-<release>-manifest.xml: Verified
c70aba3e40f0a1aee4ab65bad62fc036  VPlex-<release>-management-server.iso: Verified
1069e4fdeeb77f41ef497968490956c2  VPlex-<release>-director-firmware-package.tar: Verified
4740964a969acb1502e72752a9dbd223  VPlex-<release>-management-server-field-disk-image.tar: Verified
0cf31f1103f498ce74311979d7972b17  VPlex-<release>.zip: Verified

上記のすべてのコマンドの出力として「Verified」が表示された場合、リリースパッケージは本物として検証されています。