Linux用のProton Mail Bridgeパッケージの検証

弊社では、ダウンロードされるBridgeソフトウェアが弊社から提供されたものであることを検証するための署名を提供しています。WindowsおよびMacの場合、このチェックはインストール時に自動的に実行されます。ただし、Linuxパッケージの場合は、ユーザーによる追加のセキュリティチェックが必要です。

Proton Mail Bridgeは、.debと.rpmの両方のバージョンをサポートしています。.debバージョンをご利用の場合は、以下の手順をご覧ください。.rpmバージョンをご利用の場合は、スクロールダウンして手順をご確認ください。PKGBuildのインストールは自動的に検証されます。

執筆時点でのProton Mail Bridgeの最新バージョンは3.8.2です。これは将来変更される可能性があるため、コマンドには正しいバージョンを記述してください。もしそうしなかった場合でも、Bridgeはまもなく最新バージョンに更新されるはずです。

DEBパッケージの検証方法

Proton Mail BridgeのDEBパッケージは、debsigsというプログラムを使用して署名されています。

まず、debsig-verifyとdebian-keyringがインストールされていることを確認してください。

sudo apt-get install debsig-verify debian-keyring

公開鍵のダウンロード

wget https://proton.me/download/bridge/bridge_pubkey.gpg

公開鍵をお客様のシステムにインポートする

gpg --dearmor --output debsig.gpg bridge_pubkey.gpg

sudo mkdir -p /usr/share/debsig/keyrings/E2C75D68E6234B07

sudo mv debsig.gpg /usr/share/debsig/keyrings/E2C75D68E6234B07

この場所はrootの所有下にあるため、ここではsudoを使用する必要があります。

ポリシーファイルのダウンロードとインストール

wget https://proton.me/download/bridge/bridge.pol

sudo mkdir -p /etc/debsig/policies/E2C75D68E6234B07

sudo cp bridge.pol /etc/debsig/policies/E2C75D68E6234B07

DEBファイルがあるフォルダーに移動していることを確認し、以下のコマンドを実行してDEBファイルを検証してください。

debsig-verify protonmail-bridge_3.13.0-1_amd64.deb

Bridgeをまだダウンロードしていない場合は、以下のコマンドを実行してください。

wget https://proton.me/download/bridge/protonmail-bridge_3.13.0-1_amd64.deb

チェックに合格すると、以下のように表示されます。

debsig: Verified package from 'Proton Technologies AG (ProtonMail Bridge developers) bridge@protonmail.ch'

パッケージマネージャーを使用してパッケージをインストールしてください。

sudo apt install ./protonmail-bridge_3.13.0-1_amd64.deb

RPMパッケージの検証方法

Proton Mail BridgeのRPMパッケージは、rpm –signを使用して署名されています。

公開鍵bridge_pubkey.gpgはこちらから入手できます。

ダウンロードするには、以下のコマンドを使用してください。

wget https://proton.me/download/bridge/bridge_pubkey.gpg

Bridgeアプリの公開鍵をお客様のキーリングにインポートするには、以下の手順に従ってください。

sudo rpm --import bridge_pubkey.gpg

.rpmファイルをチェックするには、以下を実行してください。

rpm --checksig protonmail-bridge-3.13.0-1.x86_64.rpm

Bridgeをまだダウンロードしていない場合は、以下のコマンドで行うことができます。

wget https://proton.me/download/bridge/protonmail-bridge-3.13.0-1.x86_64.rpm

成功すると、結果は以下のようになります。

protonmail-bridge-3.13.0-1.x86_64.rpm: digests signatures OK

次に、Bridgeをインストールするために、以下のコマンドを実行してください。

sudo dnf install ./protonmail-bridge-3.13.0-1.x86_64.rpm

ファイルの検証で引き続き問題が発生する場合は、古い鍵が残っている可能性があります。検証を正常に通過させるために、その鍵を削除してください。

package protonmail-bridge-3.13.0-1.x86_64 does not verify: Header V4 RSA/SHA256 Signature, key ID e6234b07: NOTTRUSTED

利用可能な鍵のリストを表示するには、次のコマンドを実行してください。

rpm -q gpg-pubkey --qf '%{NAME}-%{VERSION}-%{RELEASE}\t%{SUMMARY}\n'

以下のような内容が表示されるはずです。

gpg-pubkey-18b8e74c-62f2920f Fedora (39) public key
gpg-pubkey-xxxxxxxx-xxxxxxx Proton Technologies AG (ProtonMail Bridge developers) public key

鍵を削除するには、以下のコマンドを実行してください。

sudo rpm -e gpg-pubkey-xxxxxxxx-xxxxxxx

リストを表示するコマンドを再度実行して鍵が削除されたことを確認すると、RPMファイルをインストールできるようになります。

PKGBUILDの検証方法

パッケージはビルド中に自動的に検証されるため、PKGBuildを検証する必要はありません。