Re: Verspielt Debian das bisher aufgebaute Vertrauen in die Sicherheit?
Andreas Pakulat <apaku@gmx.de> wrote:
> On 29.Jun 2005 - 22:44:15, Sven Hartge wrote:
>> Andreas Pakulat <apaku@gmx.de> wrote:
>>> On 29.Jun 2005 - 20:16:48, Sven Hartge wrote:
>>>> Z.B. migriert gerade apt 0.6.0 nach Unstable, das dürfte auch ein
>>>> paar Wellen schlagen, vor allem die Möglichkeit der
>>>> kryptographischen Absicherung von Paketen (Ubuntu hat das schon
>>>> länger) dürfte für Falten auf der Stirn sorgen, zumindest am
>>>> Anfang.
>>> Inwiefern? Also als Enduser meine ich?
>> Je nach Konfiguration prüft apt bzw. dpkg dann immer auf eine
>> entsprechende Signatur. Hast du jetzt z.B. andere Quellen
>> eingebunden, fragt das System jedes Mal nach, ob du wirklich die
>> unsignierten DEBs installieren willst.
> Hmm, da werd ich wohl sehr schnell den Schalter zum Ausschalten
> suchen. Ich bau hier in letzter Zeit öfter mal Pakete aus unstable
> selbst nach um kleine Fixes einzupflegen. Da wäre das ganz schön
> nervig.
"apt-key update" und "apt-get install debian-keyring" helfen zumindest,
wenn man nur normale Archive eingetragen hat.
Ich habe die Doku noch nicht studiert, aber es wäre gut, wenn man via
Schalter explizit für bestimmte URLs die Prüfung abschalten könnte, so
daß man Pakete direkt von Debian immer noch prüfen läßt.
Aber keine Ahnung, ob das so vorgesehen ist.
> Mal gleich noch ne "Nachfrage" an dich (bevor ich hier selbst ne
> Riesensuche veranstalte): Gibts ne Möglichkeit rauszukriegen ob ein
> deb mit oder ohne "-us -uc" Optionen bei dpkg-buildpackage gebaut
> wurde? Sprich ob die deb's signiert sind oder nicht?
Öhhh, da muss ich passen.
S°
--
Sven Hartge -- professioneller Unix-Geek
Meine Gedanken im Netz: http://sven.formvision.de/blog/
Reply to: