Dotaz: debootstrap a overenie balikov

[figliar0]

Ahojte!

Stiahol som si debootstrap (distro Archlinux), chcem pripravit nejaky ten VM s Debianom. Kdesi som cital, ze debootstrap overi stiahnute baliky podla klucov, ktore spravca balikov v distribucii pouziva pri beznej instalacii. Lenze v pripade Archlinuxu tieto kluce asi nebudu pritomne. Napoveda tomu aj volitelna zavislost pre debootstrap - balik debian-archive-keyring - ide vsak o virtualny balik a neda sa nainstalovat.

Arch sice mam par rokov, ale s virtualnym balikom som sa myslim este nestretol...(?) A teraz moje otazky:

1. Co je to virtualny balik? Preco ho nemozem nainstalovat?
2. Ako deboostrap overi stiahnute baliky? Stiahne (a overi) kluce sam? Naco potom ta "virtualna" zavislost?

Vdaka.

Odpovědi

[Sten]

Virtuální balík je balík, který není ve zdrojích známých Aptu, ale někdo jiný se na něj odkazuje. Typicky to jsou obecná jména poskytovaná jinými balíky, jako třeba www-browser poskytovaný všemi prohlížeči či mail-transport-agent poskytovaný všemi agenty pro odesílání e-mailů. Apt místo virtuálního balíku nainstaluje nějaký balík, který jej poskytuje, a tím závislost splní. V tomto případě tomu tak není, ten balík by neměl být virtuální, ale Apt nezná žádný zdroj, odkud by jej mohl stáhnout.

Klíče nelze jen tak stáhnout, útočník může vytvořit podvržený repozitář podepsaný svým klíčem, který by to takhle stáhlo, úspěšně ověřilo a nepoznalo, že je to celé podvrh. Deboostrap ověřuje balíky pomocí klíčů, které jsou v keychainu Aptu, kam debianní klíč vkládá balík debian-archive-keyring. Pokud Deboostrap klíč nenajde, zeptá se, jestli pokračovat bez ověřování.

[figliar0]

Dakujem za odpoved. Uz chapem, co je to virtualny balik.

Ale problem je v tom, ze toto sa tyka Archu, nie Debianu. V repo Archlinuxu je balik debootstrap, ktory ma ako volitelnu zavislost virtualny balik debian-archive-keyring, vid tu. Lenze ktory balik v Archlinuxe mi splni tuto zavislost? Asi ziaden... Cize ako pises - balik by nemal byt virtualny a teda sa jedna o chybu? (Pytal som sa aj na Arch foru, kde nikto nereagoval - asi som sa sprosto vyjadril.)

Predpokladal som, ze maintainer balika debian-archive-keyring v repo Archu tie kluce zabali a ja ich stiahnem takto (overim balik a kluce samotne overi pred zabalenim maintainer), lenze takto to asi nepojde a nezostava nic ine iba tie kluce natrepat (a patricne overit) rucne.

[Sten]

Pro Arch je ten balík v AUR, nevím, proč ještě nebyl přetažen do hlavního repozitáře.

[figliar0]

Ja blbec som zabudol na AUR. Ale aj tak by to malo byt v repo spolu s debootstrap-om. Nuz vdaka za cas a rady - vyzera to na chybicku maintainera - aj ked si jej msui byt vedomy (nakolko je tam ten virt. balik).