Ubuntu下RPM签名验证失败但CentOS正常的问题求助

问题描述 #

• 采用Python脚本模仿rpm工具原生签名流程，为hello.rpm添加签名，签名已成功写入包文件
• 跨系统验证结果存在明显差异：
  • Ubuntu机器：执行rpm -Kv提示Header RSA signature: BAD (package tag 268: invalid OpenPGP signature)，rpm -qiv直接报错无法识别该文件为合法RPM包
  • CentOS Docker容器：同一文件执行rpm -Kv可正常验证签名，rpm -qiv能完整读取包信息
• 已收集两边命令输出及Ubuntu环境下的RPM Trace日志，找到相关GitHub issue但无法理解具体修复方案

原因分析 #

• RPM版本分支差异：Ubuntu使用的是debian化的rpm包，CentOS使用的是RPM.org原生分支版本，两者对RPM签名的校验逻辑存在细节差异——CentOS版rpm对签名格式容错性更高，而Ubuntu版对tag 268（RPM签名专属标签）的格式校验更为严格
• 签名格式未严格遵循规范：Python脚本模拟签名流程时，可能在签名数据的编码、OpenPGP子数据包结构、长度对齐等细节上未完全匹配原生rpm工具的生成标准，这些微小偏差在宽松校验环境下可通过，但在严格校验环境下被判定为无效
• OpenPGP库实现差异：两边系统依赖的OpenPGP库（如gnupg版本）不同，对签名的解析、验证逻辑存在差异，导致同一签名数据包在不同库下得到不同的验证结果

解决建议 #

• 严格对齐RPM签名规范：参考rpm官方源码中签名模块的实现逻辑，逐一核对Python脚本中签名生成、写入的每一步：
  • 确保tag 268对应的签名数据长度、字节编码、打包方式完全匹配原生rpm生成的格式
  • 检查签名写入时的字节序、数据对齐规则，避免因格式偏差触发严格校验
• 对比标准签名包的结构：先用原生rpm --addsign hello.rpm命令生成一个标准签名包，通过二进制对比工具（或rpm -qp --dump hello.rpm命令）分析两个包的差异，定位Python脚本的问题点
• 适配Ubuntu的rpm版本规则：执行rpm --version查看Ubuntu环境的rpm版本，查找该版本已知的签名兼容问题，针对性调整脚本中的签名生成逻辑
• 统一签名依赖环境：在加签时使用与目标验证环境（如Ubuntu）一致的OpenPGP库版本，消除因库实现差异导致的验证失败

内容的提问来源于stack exchange，提问作者MPSavaliya