Pacman a podepisování balíčků

Vývojář Arch Linuxu Allan McRae popisuje na svém blogu stav implementace podepisování balíčků v chystaném pacmanu 4.0.0 a přidružených nástrojích. Pro podepisování bylo zvoleno PGP s 2048bitovými RSA klíči. Úpravy nástroje makepkg se starají o podepsání vytvořeného balíčku. Nástroj repoadd pak ověřuje podpis balíčku, přidává podpis do popisu balíčku pro pozdější zpracování pacmanem a podepisuje databázi balíčků repozitáře.

Implementovaný přístup však má svá úskalí: PGP zatím neumí vzdálené podepisovaní a podepisování databáze repozitáře, kam přispívá více vývojářů, není bez dopadů na bezpečnost.

8.8.2011 09:56 | Nicky726 | Zajímavý článek

Komentáře

[Andrej]

Takže pokud tomu dobře rozumím, nebudu moci podepisovat balíčky svým X.509 certifikátem od světově uznávané autority, ale budu se muset spokojit s nějakým PGP, platným na dobré slovo.

[vlastagf]

nevidim rozdil

[Andrej]

Já ano.

[marvn]

jj, ale lidem co pouzivaji arch by to vadit nemelo, protoze ty uz se smirili s tim, ze misto super bezpecnych a na vsechno mozne certifikovanych windows pouzivaji arch, ktery "comes with absolutely no warranty."

[Andrej]

Vstup na tato fóra by měl být podle mě pouze pro registrované uživatele a pouze od 18 let. Pak by se tady neobjevovali podobní vypatlaní frackové, kteří si nepřečetli EULA, kde by zjistili, že vše od Microsoftu je „with absolutely no warranty“, je to naprostá sračka a nikdo to nemůže opravit, protože to není open-source.

[Jendа]

Jako že bych sem ještě před chvilkou nemohl? Děkuji pěkně.

[Andrej]

Myslím, že pointu oba chápeme. Není třeba mě hned brát za slovo. Uznávám, že věk je špatné měřítko. Není pochyb o tom, že zatímco někdo je v 15 letech schopen kultivovaně diskutovat, někdo jiný může být ještě ve 30 letech nevychovaný fracek. Jen mě zkrátka nenapadlo, jaké jiné kritérium by se dalo použít pro odfiltrování idiotů všeho druhu.