תוקן, תודה.

כן, זה מתוכנן בערך מ2005...
מקום מצחיק, הפורומים בhttps, והחבילות ללא שום אבטחה...

לדביאן זה לקח שני מחזורי שחרור ליישם את זה. הבעיה העיקרית עם חתימה על חבילות היא שהיא מסבכת את החיים: במקרים רבים היא מפריעה לך להתקין חבילות. לכן מעבר ליישום הטכני של זה, נדרשת גם תמיכה של הקהילה (מי שצריכים לחתום, מי שצריכים להפיץ חבילות, מי שצריכים להוסיף את המפתח למדיית ההתקנה, מי שצריכים לתמוך במשתמשים שלא יצליחו להתקין חבילות, ועוד).

צפריר

בנוסף - אם אני מייצר לעצמי חבילות (עם ABS, AUR או pakgbuld פשוט), איך אני חותם עליהם? איך זה נפתר במקומות אחרים?

אסף.

בדביאן, למיטב ידיעתי, זה נפתר ע"י הפרדה של הכלים לשתי רמות: dpkg לוקח קבצי חבילות ומתקין אותם; apt, שאחראי על הורדת חבילות ממאגרים ופתרון בעיות של תלויות בין חבילות, הוא זה שבודק את החתימות. אם אתה בונה חבילה לעצמך, אתה מתקין אותה בעזרת dpkg, ואז אין בדיקה.

פיל קטן.

אתה חותם עליהם. זה פשוט (צור לעצמך מפתח OpenPGP). הבעיה היא לגרום לאחרים לסמוך על הממפתח שלך.

ולא: בדביאן הבעיה לא נפתרה ע"י ירידה לרמת deb. זוהי התחמקות מכוערת מאוד מהבעיה. ליתר דיוק: ב־rpm יש חתימה ברמת החבילה הבודדת, ואילו ב־dpkg / apt החתימה היא רק על המאגר השלם.

צפריר

נדמה לי שבדביאן יש חתימה ברמת החבילה. הכלים של דביאן אצל המשתמש לא בודקים אותה בגלל שיש הפרדה בין יצירת החבילות לבין ההורדה שלהן. בין שני השלבים יש בניה מחדש של החבילה על ידי ההפצה. כך שאם ההפצה בודקת את החתימה כאשר היא מקבלת את החבילה, בונה אותה מחדש, וחותמת על התוצר של הבניה מחדש בעצמה אז למעשה יש שרשרת של חתימות.
בכל מקרה, בכל ההפצות, אם החבילה המקורית מורעלת מסיבה כלשהי, המשתמש הסופי בולע את הרעל עם כל החתימות.

חותמים כשמעלים חבילה למאגר. החתימה היא של המפתח שהעלה את החבילה (בד"כ: מי שבנה אותה). היא נדרשת כדי לאשר את העלאת החבילה. אבל זו אינה החתימה שנבדקת. מתחזקי מאגר החבילות חותמים על המאגר עם מפתח כללי של כל המאגר.

צפריר

ומה עושים באתרי מראה? הרי זאת כל הבעיה המוצגת - מה מונע מהבעלים של שרת המראה לחתום על חבילה "מזויפת"?

אסף.

הם פתרו את זה. נדמה לי שלהפצה יש מפתח, ומנהל החבילות אצל המשתמש בודק מול המפתח של ההפצה. כנראה שהנקודה החלשה היא שאם למשתמש יש מפתח ציבורי מזויף של ההפצה, אז הוא לא מוגן. אבל זאת בעיה בכל שיטת המפתחות המקובלת. בכל מקרה, כנראה שעיקר חוסר ההבנה נמצא אצלי. היתה שם מחשבה איך לעשות את זה ונתנו הפתרונות האפשריים. תנסה להסתכל באתרים שלהם על הענין הזה.

מי מפריע להם? הדבר היפה הוא שאתה לא צריך לסמוך על אתרי המראה. אתה בודק את החתימה על התוכן. אתרי המראה מעבירים את התוכן כמו שהו, ולכן החתימה המקורית תקפה.

ההתקפה המקורית של אתרי מראה היא להשאיר אצלם תוכן תקף אבל ישן - לעכב עדכונים. יש כל מיני התחכמויות קטנות נגד זה.

אם אתר מראה חותם חתימה מזויפת על תוכן שונה: החתימה לא תהיה תקפה.


צפריר

רוב המשתמשים שבונים חבילות לעצמם, הם לא מפתחי חבילות, אלא משתמשים בכלים שבונים חבילות באופן אוטומטי כמו mudule-assistant. הכלים האלה בונים חבילות בודדות, לא מאגרים, ובהתאם, הם גם לא חותמים עליהן אלא מתקינים אותן עם dpkg.