Ciekawe jak to wygląda w innych dystrybucjach Linuxa?
W bardziej " zacofanej " jak mojej to
- Dalej jest używane ftp, poniewaz nie ma developerow ktorzy zaimplementowali by https
I tak troche poza tematem.
- klucze GPG w moich oczach troche traca na znaczeniu.
W Debianie kazdy pakiet ma swojego opiekuna i mozna to zweryfikowac zagladajac na strone. U mnie jest tak, ze developerow jest zbyt malo i kazdy moze tworzyc dowolny pakiet. Dlatego ...
Po pierwsze pakiety sa juz weryfikowane w repozytorium na podstawie Nicku w pakiecie oraz nazwy "kanalu" ktorym ten pakiet dotarl.
Jesli ktos osmieli sie zmienic nick w pakiecie lub zapomniec dodac to pakiet jest automatycznie odrzucany przez skrypt.
Klucz GPG, przynajmniej mnie sie wydaje ze utrudnia, ale nie eliminuje problemu edytowania pakietu
(Tu moge sie mylic, bo wiele osob pisze o weryfikacji np. sygnatury.)
- Teoretycznie nie powinno sie takze uffac ze
-- osoby paczkujace maja bezpieczny komputer
-- osoba posiadajaca repozytorium ma zawsze dobre intencje
- Podstawa weryfikacji miedzy paczkujacym a zwyklym uzytkownikiem wydaje sie byc suma kontrolna pliku,
ale nie jest to jeszcze rozwiazane dokonca
-- paczkujacy musialby okresowo sprawdzac czy na serwerze suma kontrolna jest taka sama,
lub kazdy z nich musialby miec wlasny serwer z sumami kontrolnymi, z ktorych system automatycznie by pobieral w celu sprawdzenia.
-- system zawsze sprawdza sumy kontrolne pobranych pakietow na podstawie swojej bazy sum kontrolnych
-- gdyby repozytorium zostalo zaatowane, to lepiej gdyby sumy kontrolne byly na osobnym serwerze
- Poniewaz nie mozna uffac paczkujacym, to pakiety powinny byc kompilowane u jednej osoby lub jednym serwerze,
bo jesli doszloby do edycji pakietu to przy kompilacji mozna
-- porownac bit po bicie, lub nawet sciagnac caly kod zrodlowy programu z orginalnej strony i skompilowac
-- poniewaz kod zrodlowy bedzie orginalny, to latwiej bedzie mozna wykryc manipalacje w pliku ktory przygotowuje paczkujacy,
zwlaszcza ze powinien byc napisany w czytelny sposob.
https://pl.wikipedia.org/wiki/KISS_%28regu%C5%82a%29i kazdy z uzytkownikow moze sprawdzic zarowno plik do budowania jak i kod zrodlowy programu.
- Nie rozwiazuje to problemu braku zaufania do wszystkich developerow
" Nie uffaj nikomu ", " Weryfikacja podstawa zaufania "
- Jeden z tych problemow jest omawiany przy temacie Reproduciple Builds
https://www.youtube.com/watch?v=kpRCfVk24m4