Исходное сообщение
"Уязвимость в пакетном менеджере APT, позволяющая подменить з..." Отправлено Гентушник, 23-Янв-19 13:34
> Обожаю форумную криптографию!  Она такая... форумная.  Такая незамутнённая > " .sig-и-то, .sig-и  ихде?! Ась?? "  //да-да... я знал. Там есть файлы с подписями, но они полезны лишь в случае если у человека есть доверие к этим ключам. Если он первый раз устанавливает Генту, то доверия к ключам у него скорее всего не будет (если только он не заядлый пользователь gpg/pgp с кучей лично проверенных ключей). В противном случае доверие к ключам основывается на факте "ну, этот fingerprint указан на сайте gentoo.org", что не секьюрнее чем хэш, указанный на этом же самом сайте. Про "проверяют хэши" я говорил о том что исошник можно скачать откуда угодно, хоть с файлопомойки по http, но для того чтобы удостовериться что файл предлагаемый на gentoo.org соответствует тому что ты скачал - нужно проверить хэш. > Не то что этим продажным, насквозь поломанным и предающим CA в броузерах. Не знаю с иронией вы это говорите или нет, предположу что нет.