Re: [devel] ca-trust и objsign

["Alexey V. Vissarionov" <gremlin@altlinux.org>]

Good ${greeting_time}!

On 2024-04-07 20:30:26 +0300, Vitaly Lipatov wrote:

 > Обратил внимание, в
 > /etc/pki/ca-trust/extracted/pem/objsign-ca-bundle.pem в отличие
 > от других дистрибутивов, у нас не заполнен (по факту пуст в
 > свежеустановленной системе).

И это очень хорошо.

 > При этом оказалось, что dotnet активно использует сертификаты
 > для проверки подлинности модулей, и в итоге проверить не может.

Сертификаты источников этих модулей нужно добавлять явно. И только
тех, которым мы действительно доверяем.

 > В качестве временного хака я добавил ca-certificates-nuget.org
 > https://packages.altlinux.org/ru/sisyphus/srpms/ca-certificates-nuget.org/
 > но он не помогает в больших реальных проектах.

В целом правильно. Лишь бы никто сдуру этот пакет в зависимости
не влепил.

 > Какая у нас политика, можем ли мы разместить там все сертификаты
 > для проверки подписи объектников, или допустимо только точечное
 > добавление?

Насколько я понимаю, строго сформулированной политики нет, но
явное добавление каждого нужного сертификата лично мне видится
единственным разумным решением.

При этом, повторю, зависимостей от пакетов с этими сертификатами
быть не должно: ответственность за их появление в системе нужно
возложить на пользователя, а не на мейнтейнера.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net