🚀 go-pugleaf

Andrzej Rosa <bakters@yahoo.com> wrote:
[...]
> > W różnistych dystrybucjach Linuksa? IMHO wręcz przeciwnie - repozytoria
> > zazwyczaj tworzy się łatwo i z tego co widzę zazwyczaj każde jest
> > podpisane kluczem developera/zespołu developerów, który siłą rzeczy
> > musisz zaakceptować, żeby PM nie krzyczał o kazdą operację na repo.
> 
> Nadal to o rząd wielkości większy wysiłek niż po prostu postawienie
> strony,

Ale sprawdziłeś, czy strzelasz w ciemno? Bo założenie repo dla Debiana
to jest kilka poleceń. Dla SuSE też.

> a potencjalny target jest o rząd wielkości mniejszy.  (Pomijam
> różnicę w udziale rynkowym,

A to błąd. Zastanów się czy bardziej opłaca się robić malware/exploita
na coś, co chodzi na 90% komputerów desktopowych czy na 2%.

> zakładam tylko że jednemu na dziesięciu
> użytkowników będzie się chciało dodawać jakieś repozytoria, co przecież
> i tak jest pewnie grubym przeszacowaniem.)

Chyba, ze chce miec aktualne wersje softu, wtedy nie bardzo ma wybór.

[...]
> >> > Choćby:
> >> > http://gimp-win.sourceforge.net/stable.html
> >> > Zwróc uwagę na dół strony.
> >> 
> >> 885901164f784961b0cd722340258fe7  Downloads/sdsetup.exe
> >
> > Ale odróżniasz skrót od podpisu? Poprzedni akapit sugeruje, że
> > niekonieznie.
> 
> Znalazłeś plik z podpisem,

No własnie nie bardzo szukałem, rzuciło mi się w oczy przy ostatniej
aktualizacji GIMP-a, że się chwalą. Mozilla też podpisuje i się nie
chwali. Szybkie sprawdzenie tego co mam na dysku pokazuje, że Adobe 
Reader, Gadu-Gadu, Daemon Tools czy drivery nVidii tez są podpisane.

> tyle że ja nie ten plik ściągnąłem, więc nic
> dziwnego że podpis nie pasuje.

Non sequitur. Sprawdzasz skrót a nie podpis. A podpis jest zazwyczaj 
zaszyty w pliku .exe

> Ale to i tak bez sensu dyskusja, bo
> wymaganie od końcowego użytkownika by osobiście sprawdzał podpisy jest
> zupełnym absurdem.  Większość ludzi nie sprawdzi, więc system który tego
> wymaga się dla ludzi nie nadaje.  

OK, załóżmy że system sprawdza podpisy wszystkich binarek ściągniętych z
sieci. Co Ci daje to, że plik "Zenek's Screensaver" jest podpisany przez
"Zenek & Friends Code Signing Service"? To automatycznie wyklucza, że
Zenek może mi zainstalować adware albo rootkita w stylu Sony (o czym np.
pisze gdzieś na końcu licencji, których i tak nikt nie czyta)?

> To takie proste.  Naprawdę.

... tym gorzej dla rzeczywistości.

> [...]
> >> A co Ty chcesz udowodnić?  Serio.  Do czego zmierzasz, prosto i bez
> >> niedomówień, o ile można prosić. 
> >> 
> > Binarki dla Windows pobierane z internetu też mogą być podpisane
> > i daje się to prosto sprawdzić. I masz to zintegrowane z PKI.
> 
> Grunt że mogą nie być, a działają równie dobrze jak te podpisane.  

Zupełnie jak niepodpisane binarki dla Linuksa. YPB?

Pozdrawiam

-- 
Radosław Gancarz                             r a d e k g @ h e l l . p l
http://bugs.from.hell.pl/