Daniel Leidert:
> Am Montag, den 20.11.2006, 13:08 +0100 schrieb Jochen Schulz:
>
> > Worauf ich hinauswill: apt hat deswegen das Keymanagement-Feature
> > bekommen, damit ein Nutzer oder Administrator verifizieren kann, dass
> > die zu installierende Software aus einer bestimmten, vertrauenswürdigen
> > Quelle kommt.
>
> Jein. Eigentlich soll es AFAIK die Integrität des Repositoriums schützen
> - woher die Software stammt, wird ja schon viel früher in dem Prozess
> geprüft.
Ja, ok. Aber für den Endnutzer ist die Vertrauenskette aber eben nicht
geschlossen gewesen, insofern vertraue ich über den Schlüssel auch dem
Distributor (und dem Mirror, wie Du zurecht sagst).
> > Importiert man einen Schlüssel in den von apt benutzten
> > Keyring, dann interpretiert apt das so, dass man allen mit diesem
> > Schlüssel signierten Paketen vertraut!
>
> JFTR: Die Pakete sind nicht signiert.
Recht hast Du. Die ReleaseDateien sind signiert. Läuft auf das gleiche
hinaus, wenn man alle Pakete zusammen betrachtet. Einzelne Pakete können
ohne diese Dateien aber nicht verifiziert werden.
> Mit dem Vertrauen _in_ eine Quelle hat das IMO wenig zu tun. Nur wenn du
> ihr vertraust, soll dich der Vorgang vor einer möglichen
> Kompromittierung des Repositoriums warnen.
Ja, ok. Das Eintragen einer Quelle in die sources.list ist natürlich der
erste Schritt zum Vertrauen.
Ist nebenbei interessant zu beobachten, wie Linux (welches auch immer)
jetzt mit steigenden Nutzerzahlen an die gleiche Grenze stößt, wie "der
Marktführer": die Nutzer sind einfach damit überfordert zu entscheiden,
wer vertrauenswürdig ist. Beziehungsweise mit dem Konzept des expliziten
Vertrauens auf dieser Ebene. Im Alltag läuft das alles über das
Rückenmark.
J.
--
People talking a foreign language are romantic and mysterious.
[Agree] [Disagree]
<http://www.slowlydownward.com/NODATA/data_enter2.html>
Attachment:
signature.asc
Description: Digital signature