Arch Linuxにはデフォルトでパケットデジタル署名検証が含まれています

Arch Linuxディストリビューションの開発者は、パッケージマネージャーpacman 4.0.3-2のリリース以降、デジタル署名に基づいてパッケージのソースの正確性をチェックするデフォルト機能を含めることをユーザーに通知しています。 半年前にデジタル署名によるパッケージの検証のサポートがディストリビューションに追加されましたが、これまでは、すべてのパッケージのデジタル署名の作成プロセスに時間がかかったため、この機能はデフォルトで有効になっていません。



この機能により、リポジトリからインストールされたパッケージが、開発者によって最初に準備された形式で置き換えられて受信されていないことを確認できます。これは、任意のミラーからパッケージをインストールする場合に特に便利です。 pacmanでパッケージのデジタル署名の検証を実装したパッチが2008年に導入され、このパッチの完成と統合、およびインフラストラクチャの準備に4年かかったことは注目に値します。



pacman-4.0.3-2でアップデートをインストールした後、ユーザーはコマンドを実行するように求められます：

pacman-key --init pacman-key --populate archlinux
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

実行後、ローカルキーストアが作成され、Arch Linuxパッケージの有効性を確認するために使用される5つの主要な公開キーを含む、必要なすべての検証キーがダウンロードされます。 ダウンロードプロセス中のキーの置換を防ぐためにキーをインポートするプロセスでは、プログラムはキーのハッシュを公式Webサイトで公開されているハッシュと検証することを提案します。 パッケージ検証は、pacman.conf構成ファイルのSigLevelディレクティブによって管理されます。



opennet経由