Re: Heise Meldung

[Jan Lühr <jluehr@gmx.net>]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

ja hallo ersmtal,...

Am Donnerstag, 27. November 2003 16:37 schrieb Eduard Bloch:
> Moin Jan!
>
> Jan Lühr schrieb am Thursday, den 27. November 2003:
> > > > keine Ahnung. Daher stellt sich die Frage: Warum werden, im Gegensatz
> > > > zu MSI auf dem Windows Server 2003 keine Signaturen von Software
> > > > angewandt um die Echtheit zu bestätigen?
> > >
> > > Wann raffst du es endlich? Uploads werden signiert, d.h. auch die
> > > Prüfsummen der Binär-Pakete. Was glaubst eigentlich, wie man so schnell
> > > die neuen 3.0r2-Pakete prüfen konnte?
> >
> > Bitte was? Nach dem LinuxMagazin[1] ist das nicht der Fall - ok, die sind
>
> Lern lesen. Ich schrieb nicht Pakete sondern Uploads. 

Ja, das hast geschrieben. Ich rege aber auch Signaturen in den Paketen an.

> Ja, das heisst das
> .changes -File, wo die md5-Summen stehen und mit einer PGP-Signatur
> versehen ist.

Was sinnvoll ist, bei einzeln mit dpkg installierten Paketen jedoch nicht viel 
bringt. z.B. könnte ich nicht sagen, ob die deb zu ssh echt oder nicht echt 
ist.
Können wir bitte auf persönliche Deformierungen verzichten? Ich mache es auch 
nicht.

> > nicht so überragend liegen aber auch selten krass daneben. Danach sind
> > nur md5sums nicht aber signaturen der Maintainer in den Paketen zu
> > finden.
>
> md5sums werden in Packages-Files mitgeschleppt, und die md5sums der
> Packages-Files in Release-Files, und diese sind wiederrum signiert.
> Schoen, es ist nicht das Verfahren, dass 0815-User zur Überprüfung
> seines händisch gezogenen Paketes verstehen will, aber es gibt es.

Was spräche dann gegen die Einführung eines solchen Systems?

Keep smiling
yanosz
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)
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=+G60
-----END PGP SIGNATURE-----