Nowe klucze w PLD.

[Jakub Bogusz]

On Tue, Jun 24, 2003 at 10:21:47AM +0200, Paweł Gołaszewski wrote:
> On Mon, 23 Jun 2003, Mateusz Korniak wrote:
> > > > Mysle, ze wazniejsza kwestia jest: jak plynnie zmienic klucz.
> > > Pomysł jest taki: Wypuszczamy rpm-a z nowym kluczem, podpisanym
> > > starym.
> > Nie bardzo rozumiem. W Ra jest rpm który chyba używa do sprawdzania
> > sygnatur gpg. Chyba że masz na myśli tylko nowsze rpm'y, albo 'rpm z
> > nowym kluczem' to skrót myślowy ?
> 
> Ja po prostu nie mam zielonego pojęcia jak rpm sprawdza pgp :))
> Myślałem, że to jest wewnętrzny mechanizm...

4.0.2 wywołuje gpg (i klucz publiczny musi być dostępny dla gpg)
4.1.0 (może już 4.0.4 miał beecrypt?) i nowsze umieją samemu (i klucze
publiczne importuje się przez rpm --import, nawet je widać na rpm -qa).

Jeśli pakiet ma dwie sygnatury GPG, to obie wersje rpm-a sprawdzają
wszystkie istniejące (wystarczy, że jednego klucza nie ma, żeby rpm -K
zwróciło błąd).
Modulo to, że rpm 4.0.2 ma błąd i nie umie sparsować wyjścia gpg, jeśli
są ustawione polskie locale (co wpływa tylko na to, że z polskimi
localami nie pisze, że chodzi o brakujące klucze).

> > Dalej może dobrze by było się zastanowić czy ów klucz PLD nie powinien
> > być użyty do przysygnowania kluczy poszczególnych builderów.  To
> > zredukowałoby konieczność używania klucza PLD do minimum (używane byłyby
> > tylko builderowe - wygenerowane przez właściciela buildera), oraz
> > ułatwiłoby powrót do normalności gdyby jakiś builder został w taki czy
> > inny sposób skompromitowany (anulowany i generowany tylko jeden klucz
> > builderowy bez koniecznosci robienia cyrku z mega-sign-party).
> 
> Takie coś ma sens nawet...
> Tyle, że automatyka builderowa musi się wzbogacić o jeszcze jeden element.
> 
> Minusem tego byłoby to, że klucz na builderze musiałby być bez hasła, żeby 
> podpisywanie było nie-interaktywne (a może się mylę?).

Był pomysł podpisywania przez maszynkę, do której nie ma normalnego
dostępu. Tylko to niewielka różnica, jeśli nie byłoby kontroli tego, co
idzie do podpisania... (może tylko pakiety już podpisane przez
budującego?)


-- 
Jakub Bogusz    http://cyber.cs.net.pl/~qboosh/