請問受監視環境中的更新安全 - Linux

※ 引述《loteslogin (張三立)》之銘言：
: 請教 Adama 君，GPG 加密驗證其機制與流程為何？
: 假設當前之電腦為安全的，那麼 GPG 的機制是如何驗證 update 是安全的呢？
以Fedora為例，安裝時就會把套件庫的公鑰 (gpg-key) 給匯入到rpm裡了
如果你要裝第三方套件庫，也必須先去把該套件庫的gpg-key匯入
比如說Google http://www.google.com/linuxrepositories/aboutkey.html
然後套件下載時yum就會檢查keys，確定來源可信任

之前Fedora 9的源頭套件庫被入侵，所以從頭包括gpg-key和全部套件都整個換掉
怕的是私鑰已經被竊取，駭客可以包裝能通過金鑰檢查的套件

Debian也有gpg-key，請見
http://maxubuntu.blogspot.com/2008/12/debian-desktop2.html

--

Nice to meld you.

--