फेडोरा जीपीजी कुंजी पर हस्ताक्षर क्यों नहीं किए गए हैं?

Question

फेडोरा RPM पैकेज और ISO चेकसम फाइलों पर हस्ताक्षर करने के लिए GPG-कुंजियों का उपयोग करता है। वे वेब पेज पर उपयोग में कुंजियों (उंगलियों के निशान सहित) को सूचीबद्ध करते हैं । वेब पेज को https के माध्यम से दिया जाता है।

उदाहरण के लिए चेकसम फ़ाइल के लिए Fedora-16-i386-DVD.isoकुंजी के साथ साइन किया गया है A82BA4B7। निराशाजनक सूची में सार्वजनिक कुंजी परिणामों पर हस्ताक्षर करने वाले की जाँच :

बिट्स / कीआईडी ​​cr टाइप करें। समय समाप्ति समय कुंजी समाप्ति

पब 4096R / A82BA4B7 2011-07-25            

यूद फेडोरा (16) 
sig sig3 A82BA4B7 2011-07-25 __________ __________ [सेल्फिग]

ऐसा लगता है कि फेडोरा समुदाय के किसी भी व्यक्ति ने इन महत्वपूर्ण चाबियों पर हस्ताक्षर नहीं किए हैं!

क्यों? ;) (फेडोरा विश्वास के वेब का उपयोग क्यों नहीं करता?) या मैं कुछ याद कर रहा हूं?

इसकी तुलना उदाहरण के लिए डेबियन के साथ करें - उनकी वर्तमान स्वचालित ftp साइनिंग कुंजी 473041FA 7 डेवलपर्स द्वारा हस्ताक्षरित है ।

संपादित करें: यह सामान क्यों मायने रखता है?

वास्तविक लोगों द्वारा हस्ताक्षरित इस तरह की एक महत्वपूर्ण कुंजी होने (वर्तमान में यह किसी के द्वारा हस्ताक्षरित नहीं है!) ने एक निश्चित स्तर का विश्वास स्थापित किया कि यह वास्तविक कुंजी है और किसी हमलावर द्वारा सिर्फ 5 मिनट पहले वेब-सर्वर पर अपलोड नहीं किया गया है। विश्वास या विश्वास के इस स्तर की आवश्यकता होती है कि आप विश्वास के एक वेब में उन लोगों के साथ हस्ताक्षर करने का पता लगा सकते हैं (जिन लोगों पर आप पहले से ही भरोसा कर रहे हैं)। और जिस संभावना को आप कर पा रहे हैं वह तब बढ़ रही है जब विभिन्न लोग इस पर हस्ताक्षर करते हैं (वर्तमान में संभावना शून्य है)।

आप इस भरोसेमंद चीज़ की तुलना https://mybank.example.netसर्टिफिकेशन वेरिफिकेशन में सर्फिंग करने और करने से कर सकते हैं - क्या आप तब भी अपने लेन-देन के विवरण दर्ज करेंगे या आपको लगता है कि 'एक मिनट रुकें!', रुकें और समस्या की जाँच करें।

Comments

यह आप क्या देखने की उम्मीद कर रहे हैं? अतिरिक्त मूल्य क्या है जो आपको लगता है कि आपको अधिक हस्ताक्षर करने से मिलेगा? यहां अजीब नहीं है, लेकिन सिर्फ यह समझने की कोशिश कर रहा है कि आपको क्या चाहिए।

— रोरी अलसॉप

@RoryAlsop, ने कुछ प्रेरणा देने के लिए प्रश्न को अद्यतन किया।

— मैक्सक्लेपज़िग

एसएसएल प्रमाणपत्र सही से बहुत दूर हैं । (मुझे यकीन है कि अन्य रिपोर्टें हैं; ये वही हैं जो मैंने अपने हाल के व्यक्तिगत ब्लॉग अभिलेखागार के माध्यम से एक बहुत ही त्वरित खोज-और-स्कैन के साथ पाया।)

— एक सिपाही

@ माइकलकॉर्जिंग, कोई भी दावा नहीं करता है कि एसएसएल प्रमाणपत्र (या वर्तमान टीएलएस संशोधन / कार्यान्वयन) परिपूर्ण हैं। कृपया स्पष्ट करें कि आपकी टिप्पणी प्रश्न में वर्णित मुद्दे से संबंधित कैसे है।

— अधिकतम 25'12

AVID फेडोरा उपयोगकर्ता, और मैं आपके साथ अधिकतम हूं। जब मैं पूंछ के लिए कुंजी डाउनलोड करता था तो मुझे झटका नहीं लगता था और इस पर हस्ताक्षर नहीं किए जाते थे, लेकिन फेडोरा को सक्षम और कई दाढ़ी वाले व्यक्तियों (कई आरएचटी कर्मचारी) के रूप में एक साथ रखा जाता है। बहुत अजीब। आईआरसी के किसी एक चैट रूम में यह पूछना बेहतर होगा। या फ़ेडोराफ़ोरम या अक्सफ़ेडोरा में ।

— rsaw

Answer 1

कभी-कभी प्रमुख धारक गैर-मानवीय कुंजी "sig1" पर हस्ताक्षर करते हैं (उदाहरण के लिए रेपो कुंजी)।

मैन पेज से;

1 का मतलब है कि आपको विश्वास है कि कुंजी उस व्यक्ति के स्वामित्व में है जो इसका दावा करता है, लेकिन आप कुंजी का सत्यापन नहीं कर सकते हैं या नहीं कर सकते हैं। यह "व्यक्तित्व" सत्यापन के लिए उपयोगी है, जहां आप छद्म नाम वाले उपयोगकर्ता की कुंजी पर हस्ताक्षर करते हैं।

मेरा मानना ​​है कि यह मूल्य जोड़ सकता है क्योंकि ये हस्ताक्षर विश्वास को बढ़ावा देने के लिए उपयोग नहीं किए जाते हैं, वे केवल मैनुअल सत्यापन / पुन: आश्वासन के लिए हैं।

एक गैर-मानव / छद्म नाम पर हस्ताक्षर करने वाले किसी भी व्यक्ति के साथ समस्या यह है कि हम यह नहीं जानते हैं कि कौन ... समय में कुंजी के नियंत्रण में होगा। अधिकांश लोग इस कारण से हस्ताक्षर नहीं करना चाहेंगे।

इसके अलावा, वर्तमान में यह फेडोरा के लिए कुंजी को बदलने और अपनी वेबसाइट पर एक नया फिंगरप्रिंट प्रकाशित करने के लिए अपेक्षाकृत तेज़ है, उन सभी के लिए कुछ समय लगेगा जिन्होंने हस्ताक्षर रद्द करने के लिए हस्ताक्षर किए हैं।

संभवतः अधिक व्यावहारिक क्या हो सकता है;

• फेडोरा में कोई व्यक्ति कुंजी का स्वामित्व लेता है (गैर छद्म नाम)
• फेडोरा साइन में कुंजी के करीब एक समर्पित टीम / कुंजी को निरस्त करें।
• वर्तमान फ़िंगरप्रिंट वाले वेबपृष्ठ पर किसी व्यक्ति द्वारा हस्ताक्षर किए गए हैं।

लेकिन ... जैसा कि पहले ही कहा जा चुका है, हस्ताक्षर के साथ या बिना, रेपो कुंजियों के gpg फ़िंगरप्रिंट तब स्थापित होते हैं जब आप OS स्थापित करते हैं ... यह भविष्य के सभी अद्यतनों को मान्य करता है। यह सुरक्षा की दुनिया को जोड़ता है।

Answer 2

मैं फेडोरा डेवलपर्स के विशिष्ट तर्क से बात नहीं कर सकता, लेकिन जब तक आप हस्ताक्षर करने वाली कुंजियों पर भरोसा नहीं करते, तब तक इससे कोई फर्क नहीं पड़ता।

आमने-सामने की अदला-बदली किए बिना किसी की चाबी पर आंख मूंदकर भरोसा नहीं करना चाहिए या किसी थर्ड पार्टी से उनकी हस्ताक्षरित चाभी प्राप्त कर लेना चाहिए।

फेडोरा डेवलपर समुदाय की तुलना में फेडोरा उपयोगकर्ता समुदाय अपेक्षाकृत बड़ा है, हस्ताक्षरकर्ताओं का व्यापक वितरण और तर्कसंगत विश्वास आम जनता के लिए संभावना नहीं है, हालांकि यह छोटी संख्या में उन लोगों के लिए कुछ मूल्य जोड़ देगा जो हस्ताक्षरकर्ता पर ठीक से भरोसा कर सकते हैं )।

एसएसएल के मामले में यह सुरक्षित कुंजी विनिमय पहले ही हो चुका है - यह आपकी ओर से आपके ब्राउज़र या ओएस विक्रेता द्वारा किया जाता है। सामान्य प्रमाणपत्र प्राधिकरण रूट (और जारी करना) सार्वजनिक कुंजी आपके एसएसबी ट्रस्ट डीबी में पूर्व-आबादी में आती है। एसएसएल रूट सेरेक्ट की तरह, विभिन्न ओएस रिपॉजिटरी के लिए हस्ताक्षर कुंजी वितरण के साथ आती हैं। इस प्रकार यह कहने का कोई आधार नहीं है कि ये एसएसएल रूट प्रमाणपत्र आपके ओएस के साथ वितरित की गई GPG हस्ताक्षर कुंजी से अधिक या कम भरोसेमंद हैं।

पैकेजों के GPG पर हस्ताक्षरित कुंजी के बिना भी अभी भी पर्याप्त लाभ मिलता है। आपको आश्वासन दिया जा सकता है कि आपके पैकेज एक ही स्रोत से आए हैं, तो आप सुनिश्चित कर सकते हैं कि हस्ताक्षर कुंजी को स्थापित करने के बाद से कोई बिंदु बदल गया है, आदि आप अन्य स्थानों पर भी देख सकते हैं कुंजी प्रकाशित हो सकती है और यह देखने के लिए जांचें कि क्या यह अलग है।

इससे आपको कहने की क्षमता का शुद्ध प्रभाव पड़ता है "अगर मुझे एक हस्ताक्षरित पैकेज के माध्यम से निहित किया गया था, तो फेडोरा का उपयोग करने वाले बाकी सभी भी निहित हैं" जबकि अहस्ताक्षरित पैकेजों के साथ एक पागल दिमाग को हमेशा पूछना चाहिए "अगर कोई मेरे और उसके बीच बैठा है नेटवर्क पर दर्पण और किसी * * {rpm, deb, txz}?

Comments

अगर बहुत सारे अविश्वसनीय सीए नहीं थे तो काम कर सकते हैं ...

— सैमबी