[devel] Сертификаты пакетов Сизифа.

[devel] Сертификаты пакетов Сизифа.

[Sergei Epiphanov]

Я делал пересканирование своего зеркала Сизифа через rpm -K и наткнулся, на 
то, что в некоторых пакетах вложены недействительные сертификаты (по крайней 
мере, не существующих в alt-gpgkeys). Это нормально? Один из пакетов - это 
anonftp-3.2-alt1.src.rpm. В их числе есть пакеты и из i586, x86_64 и noarch, 
причём бывает так, что есть бинарный пакет с неизвестным сертификатом, а 
src.rpm - чист.


P.S. MD5-хеш у меня совпал по всем пакетам, то есть пакеты не битые.

-- 
С уважением, Епифанов Сергей

Re: [devel] Сертификаты пакетов Сизифа.

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 573 bytes --]

On Tue, Apr 28, 2009 at 12:37:43PM +0400, Sergei Epiphanov wrote:
> Я делал пересканирование своего зеркала Сизифа через rpm -K и наткнулся, на 
> то, что в некоторых пакетах вложены недействительные сертификаты (по крайней 
> мере, не существующих в alt-gpgkeys). Это нормально? Один из пакетов - это 
> anonftp-3.2-alt1.src.rpm. В их числе есть пакеты и из i586, x86_64 и noarch, 
> причём бывает так, что есть бинарный пакет с неизвестным сертификатом, а 
> src.rpm - чист.

Иногда пакеты переживают ключи, которыми подписаны.  Например, anonftp.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]

Re: [devel] Сертификаты пакетов Сизифа.

[Sergei Epiphanov]

On Вторник 28 апреля 2009 14:56:33 Dmitry V. Levin wrote:
> Иногда пакеты переживают ключи, которыми подписаны.  Например, anonftp.

Это-то понятно, а вот насчёт бинарных сборок с неизвестным ключом, когда при 
этом его src.rpm со всеми правильными ключами? Причём есть такие пакеты с 
недавней сборкой. Не могу понять, как туда попал устаревший ключ? Или была 
сборка в обход стандартного сборщика?

-- 
С уважением, Епифанов Сергей

Re: [devel] Сертификаты пакетов Сизифа.

[Michael Shigorin]

On Tue, Apr 28, 2009 at 04:17:39PM +0400, Sergei Epiphanov wrote:
> > Иногда пакеты переживают ключи, которыми подписаны.
> > Например, anonftp.
> Это-то понятно, а вот насчёт бинарных сборок с неизвестным
> ключом, когда при этом его src.rpm со всеми правильными
> ключами? Причём есть такие пакеты с недавней сборкой. Не могу
> понять, как туда попал устаревший ключ? Или была сборка в обход
> стандартного сборщика?

Подумайте, как майнтейнер, подписывающий src.rpm, может подписать
своим ключом бинарную сборку -- ведь он её не заливает и ключ
тоже не предоставляет.  Также можно сравнить ключи, которыми
подписывались бинарные пакеты сравнимой давности сборки.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Сертификаты пакетов Сизифа.

[Sergei Epiphanov]

On Вторник 28 апреля 2009 17:57:35 Michael Shigorin wrote:
> Подумайте, как майнтейнер, подписывающий src.rpm, может подписать
> своим ключом бинарную сборку -- ведь он её не заливает и ключ
> тоже не предоставляет.  Также можно сравнить ключи, которыми
> подписывались бинарные пакеты сравнимой давности сборки.

Поэтому и задал вопрос, что не смог придумать ответа. После просмотра, похоже, 
я понял, в чём дело. Предполагаю, что данные пакеты:

deroff-2.0-alt1.x86_64.rpm
flex-old-2.5.4a-alt1.x86_64.rpm
html2text-1.3.2a-alt2.x86_64.rpm
ipfm-0.11.5-alt1.x86_64.rpm
libmhash-0.8.18-alt1.1.x86_64.rpm
libmhash-devel-0.8.18-alt1.1.x86_64.rpm
libmhash-devel-static-0.8.18-alt1.1.x86_64.rpm
mcrypt-2.6.4-alt2.x86_64.rpm 
physfs-1.0.1-alt1.1.x86_64.rpm
physfs-devel-1.0.1-alt1.1.x86_64.rpm
procinfo-18-alt1.x86_64.rpm
rats-2.1-alt2.x86_64.rpm
recover-1.3c-alt1.x86_64.rpm
welcome2l-3.04-alt4.x86_64.rpm

были подписаны ныне устаревшим ключом и затем повторно подписаны уже новым. В 
результате проверка пакетов и ругается на них. А вот deroff-2.0-alt1.src.rpm, 
к примеру, подписан правильно...

-- 
С уважением, Епифанов Сергей

Re: [devel] Сертификаты пакетов Сизифа.

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 613 bytes --]

On Tue, Apr 28, 2009 at 04:17:39PM +0400, Sergei Epiphanov wrote:
> On Вторник 28 апреля 2009 14:56:33 Dmitry V. Levin wrote:
> > Иногда пакеты переживают ключи, которыми подписаны.  Например, anonftp.
> 
> Это-то понятно, а вот насчёт бинарных сборок с неизвестным ключом, когда при 
> этом его src.rpm со всеми правильными ключами? Причём есть такие пакеты с 
> недавней сборкой. Не могу понять, как туда попал устаревший ключ? Или была 
> сборка в обход стандартного сборщика?

Раньше бинарные пакеты подписывались в полуавтоматическом режиме.
Давайте посмотрим на конкретном примере.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 197 bytes --]