Ошибка подписи deb пакета: «signing failed: No data callback in IPC»

-g "--passphrase MyPass"

А без этого?

       --passphrase string
              Use string as the passphrase. This can only be used if only  one
              passphrase  is supplied. Obviously, this is of very questionable
              security on a multi-user system. Don't use this  option  if  you
              can  avoid  it.   Note  that this passphrase is only used if the
              option --batch has also been  given.   This  is  different  from
              GnuPG version 1.x.

Всё равно. Даже пароль не спрашивает.

С ключами в .gnupg всё в порядке.

Сейчас попробовал подписать пакет через Docker и он успешно подписался:

$ docker run -it -v /home/eennoott/.gnupg:/root/.gnupg -v $PWD:/packages debian:stretch

root@36f7db9907d6:/packages# apt update && apt install gpg dpkg-sig
root@36f7db9907d6:/packages# export GPG_TTY=$(tty)
root@36f7db9907d6:/packages# dpkg-sig -k F258BC0E -s builder ./gameap-daemon_2.1-32trusty_amd64.deb 
Processing ./gameap-daemon_2.1-32trusty_amd64.deb...
gpg: WARNING: unsafe ownership on homedir '/root/.gnupg'
gpg: WARNING: unsafe ownership on homedir '/root/.gnupg'
gpg: using "F258BC0E" as default secret key for signing
Signed deb ./gameap-daemon_2.1-32trusty_amd64.deb

Docker контейнер следующий:

Debian Stretch

# gpg --version
gpg: WARNING: unsafe ownership on homedir '/root/.gnupg'
gpg (GnuPG) 2.1.18
libgcrypt 1.7.6-beta

Версия dpkg-sig: 0.13.1+nmu4

Вообще, в Debian *.deb не подписывают. Подписывают репозитории. То есть возможность есть такая, но этого никто не делает. Я не видел. В rpm тоже есть подпись, но, насколько я знаю, она подерживается. В Debian подпись может быть даже проигнорирована без конфигурирования dpkg (я не понмю этого момента, надо проверить). Обычно делают локальные репозитории и их подписывают. А дальше все их них ставят, предварительно добавив ключ.

У тебя при установке подписанного пакета через dpkg требует ключ или молча ставит?

В Debian *.deb точно подписывают. И репозитории тоже подписывают, тем же ключом, что и пакеты. APT будет ругаться, если установить неподписанные пакеты из репозитория. Собственно, утилиты debsigs и dpkg-sig для этого и созданы, чтобы пакеты подписывать.

Как я понял, от версии GPG ничего не зависит. Это я понял, когда скопировал весь .gnupg на соседнюю, чистую Ubuntu 18.04. Попробовал подписать и всё получилось.

Однако, не знаю ещё куда копать, чтобы исправить ошибку в ОС за которой я работаю.

В Debian *.deb точно подписывают.

Не подписывают. Там подпись отдельно идет на уровне репозитория (файл .dsc, но для source). Она не идет внутри пакета. Вот почитай документ:

https://blog.packagecloud.io/eng/2014/10/28/howto-gpg-sign-verify-deb-package...

И дочитай до этого:

dpkg support for dpkg-sig

Unfortunately, dpkg does not have built-in support for dpkg-sig, but the discussion appears to have been moved to a bug ticket with Debian (last updated in 2012): https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=340306.

Хм, спасибо за информацию.

Нет, я считаю, что подпись deb-пакета нужна и в баге были разговоры про то, как это вернуть правильно (раньше это работало как-то), но сейчас общепринятого механизма класть подпись в *.deb нет. Это плохо, когда файл достался в отрыве от репозитория и вообще непонятно, откуда он. Раньше, если я правильно помню, skype, opera и др. (virtualbox?) делали свои apt-репозитории для Debian/Ubuntu, которые надо было прописать в sources.list и добавлять key. Потом, кажется, все они или часть из них перестали держать репозитории и распространяли просто *.deb, которые не были подписаны, ничего не проверялось.

Я. например, держу у себя подписанный локальный репозиторий, где собираю отдельные программки под Debian. Репозиторий подписан, добавлен в sources.list.d. Так и живу. В общем, либо забивай на подпись *.deb, либо начинай развертывать локальный репозиторий и apt-ом ставить.

Пакеты в Debian, увы, обычно не подписываются. При загрузке в репозиторий сопровождающим подписываются файлы .dsc с перечислением исходников и файлы.changes, в который dpkg-buildpackage (dpkg-genchanges на самом деле, но неважно) складывает информацию для загрузки в репозиторий. В этом файле есть хэши всех бинарных пакетов, которые только что собрали. Так что можно, например, положить его рядом с .deb для проверки. Автоматически проверка не происходит.

Я посмотрел на dpkg-sig. Действительно, эта штука подписывает .deb. Скажем,

dpkg-sig --sign builder <package>.deb

В репозитории подписывается файл с метаданными, пакеты обычно не подписываются, но этого вполне достаточно.

Да, на всякий случай добавлю, что воспроизвести ошибку «No data callback in IPC» не удалось. На багтрекере есть такой баг: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=914728 Однако ничего полезного в нем не нашлось.

Эти два сообщения надо не мне писать, а топикстартеру, вообще-то. Я выше, тащемта, все то же самое написал. :)