Neo4j离线RPM包未签名是否正常？官方包无签名咨询

问题背景 #

在离线服务器上安装4.x版本Neo4j社区版时，遵循官方离线RPM安装流程，发现官方RPM分发节点提供的包均未签名，测试包括最新企业版在内的多个版本都是如此，疑问这种情况是否正常，以及未签名带来的安全风险。

检测信息 #

执行rpm -qip neo4j-enterprise-5.3.0-1.noarch.rpm得到以下输出：

Name        : neo4j-enterprise
Version     : 5.3.0
Release     : 1
Architecture: noarch
Install Date: (not installed)
Group       : Unspecified
Size        : 226422290
License     : Proprietary
Signature   : (none)
Source RPM  : neo4j-enterprise-5.3.0-1.src.rpm
Build Date  : Thu Dec 15 14:35:50 2022
Build Host  : 385d2a9db634
Relocations : (not relocatable)
URL         : http://neo4j.com/
Summary     : Neo4j server is a database that stores data as graphs rather than tables.
Description :

Neo4j is a highly scalable, native graph database purpose-built to
leverage not only data but also its relationships.

操作步骤 #

• 通过curl -O https://dist.neo4j.org/rpm/neo4j-enterprise-5.3.0-1.noarch.rpm下载包，重复执行校验
• 预期获取已签名包
• 实际得到未签名包

回答 #

目前Neo4j官方提供的RPM包（无论是社区版还是企业版）确实普遍未签名，这是当前的现状，不属于异常情况，但未签名确实存在明确的安全风险：无法验证包的真实性与完整性，下载过程中或存储的包有可能被篡改，引入恶意代码或损坏文件。

如果需要确保包的安全性，建议通过官方提供的SHA256校验和来验证下载文件：找到对应版本包的校验文件（通常在同一下载目录下，命名类似neo4j-xxx.rpm.sha256），使用sha256sum -c 校验文件名命令比对本地文件的哈希值，确认文件未被篡改。

内容的提问来源于stack exchange，提问作者ralberich