В Arch Linux по умолчанию включена проверка цифровых подписей пакетов

Разработчики дистрибутива Arch Linux уведомили ^[1] пользователей о включении по умолчанию функции проверки достоверности источника пакетов на основании цифровых подписей начиная с выпуска пакетного менеджера pacman 4.0.3-2. Поддержка проверки пакетов по цифровой подписи была добавлена в дистрибутив ещё полгода назад, но до настоящего момента данная функция не была включена по умолчанию из-за того, что процесс создания цифровых подписей для всех пакетов потребовал времени.

Указанная возможность позволяет гарантировать, что устанавливаемый из репозитория пакет не был подменён и получен в том виде, в котором его изначально подготовили разработчики, что особенно полезно при установке пакетов с произвольных зеркал. Примечательно, что патч с реализацией проверки цифровых подписей пакетов в pacman был представлен в 2008 году, на доработку и интеграцию данного патча, а также на подготовку инфраструктуры, ушло четыре года.

После установки обновления с pacman-4.0.3-2, пользователю будет предложено запустить команды:

pacman-key --init
pacman-key --populate archlinux

после выполнения которых будет создано локальное хранилище ключей и загружены все необходимые проверочные ключи, в том числе пять основных публичных ключей, используемых для подтверждения валидности пакетов Arch Linux. В процессе импорта ключей с целью предотвращения подмены ключей в процессе загрузки программа предложит сверить хэши ключа с хэшами, опубликованными ^[2] на официальном сайте. Управление верификацией пакетов осуществляется через директиву SigLevel в файле конфигурации pacman.conf.

via opennet ^[3]

Автор: koshak