rpmfusionがnogpgcheckスイッチの使用を推奨するのはなぜですか？

Question

これは、包装システムに関連する元の鶏肉と卵の信頼問題を崩すためのステップです。

yum新しいリポジトリのパッケージングシステム（/）rpmは新しいリポジトリであり、最初はよく知られていなかったため、信頼できません。したがって、最初のステップは、システムに（暗号化された方法で）この新しいストレージを信頼するように指示することです。これは、パッケージ（または他のシステムではパッケージバージョン）に署名することによって行われます。

いくつかの方法では、システムの信頼性を高めるために、別のWebページまたはキーサーバーにgpgキーを提供します。rpm --import（本物rpmkeys --importapt) または / と同じdpkg:apt-key add）その後、主にダウンロードするURLといくつかの設定（パラメータなどgpgcheck=1）を含む正しいファイルでリポジトリを設定します。

別のアプローチは、このキーをパッケージに直接置き、パッケージにキーとストレージ設定を追加させることです。ここではrpmfusion-free-release-7.noarch.rpm、パッケージ内にいくつかのファイルのみを使用して実行します。

# rpm -qlp rpmfusion-free-release-7.noarch.rpm 
warning: rpmfusion-free-release-7.noarch.rpm: Header V4 RSA/SHA1 Signature, key ID f5cf6c1e: NOKEY
/etc/pki/rpm-gpg/RPM-GPG-KEY-rpmfusion-free-el-7
/etc/yum.repos.d/rpmfusion-free-updates-testing.repo
/etc/yum.repos.d/rpmfusion-free-updates.repo

これらのファイルは、ここに含まれるキーと新しいストレージ構成ですgpgcheck=1。パッケージはインストールされるまでシステムでは信頼されません（したがって上記の警告NOKEY）。インストール後、鍵は信頼され、すべての追加操作はこの追加された鍵を使用してパッケージ署名を確認します。

では、どのように信じられますか？ダウンロード時にhttps://信頼を提供するためにinを使用し続けますhttps://download1.rpmfusion.org/。 rpmfusionが所有するダウンロードサイトがこのパッケージを制御し、改ざんなしで安全にダウンロードできることを保証する必要があります。

パッケージではなくウェブサイトのみが信頼できるため、まったく同じタイプの信頼ではありません。とにかくrpmfusionからソフトウェアをダウンロードしているので、これはソフトウェアを十分に信頼してパッケージをダウンロードしてインストールできることを意味します。このパッケージは、リポジトリの初期追加に加えて初めてダウンロードしないでください*.rpmfusion.org（installを使用している場合でも--nogpgcheck）。それ以外の場合は、同じ名前の別のパッケージではなく、同じパッケージを実際に提供するためにミラーを信頼する必要があります。追加のキーまたはより悪い。

それにもかかわらず、電子方法を使用する場合は、キーを追加してパッケージをダウンロードする方法に関するガイドラインを読む必要があるため、まずそのガイドラインを信頼する必要があります。これは私が鶏と卵と呼ぶものです。どこかで信頼を始める必要があります。

これらの初期信頼が確立されると、他のすべてが安全に「処理」されます。新しいキーを提供する必要がある場合でも、これはrpmfusion-free-release内部交換キーを更新することによって行われます。ミラーからダウンロードして使用していない場合でも、https://実際にはこのリポジトリの場合です。ミラーを使用します。おそらく純粋なhttpです。もう必要ありません--nogpgcheck。

Answer 1