Fedora plant, unsignierte RPM-Pakete standardmäßig zu blockieren
Fedora-Entwickler schlagen vor, RPM-Signaturprüfungen in Fedora 44 standardmäßig durchzusetzen, vorbehaltlich der Überprüfung und Genehmigung durch FESCo.
Eine Übersetzung von 🇬🇧 Linuxiac.com
Die Entwickler von Fedora haben für Fedora 44 eine systemweite Änderung vorgeschlagen, die standardmäßig die Überprüfung von RPM-Paketsignaturen vorschreibt, um die Sicherheit in der Software-Lieferkette zu erhöhen. Während Fedora und DNF seit langem eine Signaturüberprüfung für Repositorys verlangen, hat RPM selbst unsignierte Pakete bisher als gültig behandelt.
Wenn die Änderung angenommen wird, würde Fedora den Standardeinstellungen von RPM 6.0 folgen, die nur die Installation von Paketen mit verifizierten kryptografischen Signaturen zulassen. In der Praxis bedeutet dies, dass Benutzer keine unsignierten RPMs installieren können, es sei denn, sie überschreiben den Verifizierungsprozess explizit mit dem Flag --nosignature oder einem entsprechenden API-Aufruf.
Der Autor des Vorschlags, Panu Matilainen von Red Hat, erklärt:
Das traditionelle Verhalten von RPM <= 4.x bestand darin, Signaturen zu überprüfen, wenn sie vorhanden und überprüfbar waren, sie jedoch niemals zu verlangen. Dieses Verhalten mag in den neunziger Jahren noch akzeptabel gewesen sein, entspricht jedoch nicht den Sicherheitsanforderungen der heutigen Zeit.
Das Fedora-Team weist darauf hin, dass der DNF5-Paketmanager (Version 5.2.14 oder höher) bereits die Deaktivierung der Signatur pro Paket enthält. Dadurch können Tools wie mock und COPR weiterhin unsignierte Pakete erstellen und testen, ohne den Arbeitsablauf zu unterbrechen.
Darüber hinaus lassen sich lokal mit rpmbuild erstellte Pakete dank der neuen RPM 6.0-Unterstützung für die passwortlose Schlüsselsignierung über ein Setup-Skript (/usr/lib/rpm/rpm-setup-autosign) auch einfacher automatisch signieren.
Für die meisten Fedora-Benutzer dürfte die Änderung keine spürbaren Auswirkungen haben. Offizielle Repositorys und COPR-Builds verwenden bereits signierte Pakete. Entwickler, die auf unsignierte lokale Pakete angewiesen sind, müssen jedoch möglicherweise ihre Arbeitsabläufe anpassen – entweder durch Signieren ihrer Builds oder durch explizite Überschreibungen.
Der Vorschlag wird einer öffentlichen Konsultation unterzogen, bevor er vom Fedora Engineering Steering Committee (FESCo) geprüft wird, einem wichtigen Leitungsgremium innerhalb des Fedora-Projekts, das verschiedene technische Entscheidungen im Zusammenhang mit der Entwicklung der Distribution überwacht. Wenn der Vorschlag angenommen wird, wird die Änderung in Fedora 44 umgesetzt, das voraussichtlich im nächsten Frühjahr erscheinen wird. Andernfalls könnte sie auf eine zukünftige Version, beispielsweise Fedora 45, verschoben werden.
Weitere Informationen finden Sie im Vorschlag selbst.
Comments