🚀 go-pugleaf

On 2010-01-08, Radosław Gancarz <N0Spam_radekg@hell.pl> wrote:
> Andrzej Rosa <bakters@yahoo.com> wrote:
[...]
>> To też.  W praktyce łatwiej chyba zrobić atak typu "man in the middle", o
>> czym piszę powyżej.
>
> W różnistych dystrybucjach Linuksa? IMHO wręcz przeciwnie - repozytoria
> zazwyczaj tworzy się łatwo i z tego co widzę zazwyczaj każde jest
> podpisane kluczem developera/zespołu developerów, który siłą rzeczy
> musisz zaakceptować, żeby PM nie krzyczał o kazdą operację na repo.

Nadal to o rząd wielkości większy wysiłek niż po prostu postawienie
strony, a potencjalny target jest o rząd wielkości mniejszy.  (Pomijam
różnicę w udziale rynkowym, zakładam tylko że jednemu na dziesięciu
użytkowników będzie się chciało dodawać jakieś repozytoria, co przecież
i tak jest pewnie grubym przeszacowaniem.)

[...]
>> SHA1.  Teoretycznie łamalny, podobno...
>
> Pokazywałem Ci, ze nie wszystko jest podpisane a dokumenty opisujące jak
> to zrobić porządnie leżą sobie od lat. Coś się ruszyło?

drobbins wrócił i zrobił portage w gicie.

>> > Choćby:
>> > http://gimp-win.sourceforge.net/stable.html
>> > Zwróc uwagę na dół strony.
>> 
>> 885901164f784961b0cd722340258fe7  Downloads/sdsetup.exe
>
> Ale odróżniasz skrót od podpisu? Poprzedni akapit sugeruje, że
> niekonieznie.

Znalazłeś plik z podpisem, tyle że ja nie ten plik ściągnąłem, więc nic
dziwnego że podpis nie pasuje.  Ale to i tak bez sensu dyskusja, bo
wymaganie od końcowego użytkownika by osobiście sprawdzał podpisy jest
zupełnym absurdem.  Większość ludzi nie sprawdzi, więc system który tego
wymaga się dla ludzi nie nadaje.  

To takie proste.  Naprawdę.

[...]
>> A co Ty chcesz udowodnić?  Serio.  Do czego zmierzasz, prosto i bez
>> niedomówień, o ile można prosić. 
>> 
> Binarki dla Windows pobierane z internetu też mogą być podpisane
> i daje się to prosto sprawdzić. I masz to zintegrowane z PKI.

Grunt że mogą nie być, a działają równie dobrze jak te podpisane.  

-- 
Andrzej Rosa 
Working Gentoo flavor:  http://www.funtoo.org
Maintained by Daniel Robbins.