[Gelistirici] depo indekslerinin imzalanmasi

29 Oca 2007 Pzt 13:45:29 EET

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

From: "Aycan iRiCAN" <aycan.irican at core.gen.tr>
To: gelistirici at uludag.org.tr
Subject: Re: [Gelistirici] depo indekslerinin imzalanmasi
Gcc: nnfolder+archive:sent-mail
Organization: Kor Biliœô ÿim Teknolojileri Ltd. œô şti.
X-Home-Page: http://www.core.gen.tr/
Reply-to: "Aycan iRiCAN" <aycan.irican at core.gen.tr>
Date: Mon, 29 Jan 2007 13:45:29 +0200
In-Reply-To: <45BD298E.5060905 at comu.edu.tr> (Pınar Yanardağ's message of "Mon, 29 Jan 2007 00:54:06 +0200")
Message-ID: <87ps8ydpk6.fsf at core.gen.tr>
User-Agent: Gnus/5.11 (Gnus v5.11) Emacs/22.0.90 (gnu/linux)
X-Draft-From: ("nnimap+coregentr:INBOX.Lists.gelistirici" 409)
References: <45BBF42E.10201 at comu.edu.tr>
	<200701281626.20749.meren at pardus.org.tr>
	<45BD298E.5060905 at comu.edu.tr>
- --text follows this line--
<#secure method=pgp mode=sign>
Pınar Yanardağ <pinar at comu.edu.tr> writes:

> Selamlar,
>
> A. Murat Eren wrote On 29-01-2007 00:26:
>>  Merhabalar,
>>
>> On Saturday 27 January 2007 18:54, Pınar Yanardağ wrote:
>>   
>>> Depo indekslerinin kontrolü için kullanacağımız public anahtarı nerede
>>> tutmalıyız? Bunun için aklıma gelen alternatifler şöyle:
>>>
>>> 1. ben public anahtarı depodaki diğer dosyalarla aynı dizinde başka bir
>>> dosyada tutmayı düşünüyorum. indeksi kontrol ederken [bkz: #2] direkt bu
>>> dosyayı arar, anahtarı gpg'nin havuzuna ekleriz [kontrol işini gpg
>>> halledecek çünkü].
>>>
>>> (burda güvenlik sorunu ön plana çıkıyor tabii. 
>>>     
>>
>>  Public key için nasıl bir güvenlik sorunu çıkabilir?
>>
>>   
>
> Konuyu Faik Bey'le konusurken boyle bir ihtimal geldi aklimiza. Aslinda 
> bir guvenlik sorunu olarak nitelemekte yanilmis olabilirim. Guvenlikten 
> kastim, birisi oradaki public anahtari degistirip paketler uzerinde 
> dogrulama saglayarak sisteme zarar verebilir seklindeydi. Tabii bunun 
> icin depoyu zaten ele gecirip paketleri de degistirmesi gerek.. Yani 
> sunucunun guvenlik riskine giriyor bu daha cok. Ama bunu dusunerek bir 
> guvenlik sorununu kastetmistim.

$ cat /var/lib/pisi/index/pardus-2007/uri
http://paketler.pardus.org.tr/pardus-2007/pisi-index.xml.bz2

$ host paketler.pardus.org.tr
paketler.pardus.org.tr is an alias for ns1.pardus.org.tr.
ns1.pardus.org.tr has address 139.179.139.251
                              ^^^^^^^^^^^^^^^

Senaryoyu hayal edebilirsiniz.

>
>>> ancak bir şekilde bu 
>>> anahtarı sunucuda bir yerde tutmak gerekiyor. o yüzden güvenlik riski
>>> anahtar depo dizininde tutulsa da tutulmasa da aynı diye düşünüyorum.)
>>>
>>> 2. ya da public anahtarı index dosyasına örneğin imza diye bir tag'ın
>>> içine yerleştiririz. imza kontrolü sırasında public anahtarı direkt bu
>>> tag'dan alır ve gpg'ye ekleriz.
>>>
>>> 3. ya da anahtarı bir keyserver'da tutarız, indeks dosyasında bir tag
>>> içinde de keyid'yi tutarız. buradan anahtara ulaşıp gpg'ye ekleriz.
>>>
>>> 4. ya da başka bir öneri/çözüm..?
>>>     
>>
>>  Neden bir kurulum/güncelleme esnasında uygun bir paket ile kullanıcının 
>> sistemine ulaşmıyor bu anahtar?
>>
>>
>>   
>
> Bu da olabilir tabii.

Bence bu da olmamalœô Ñ. Bu tür yapœô Ñlar hep bir güven iliœô ÿkisine
dayanœô Ñyor kanœô Ñmca. Bu nedenle öncelikle kurulum yaptœô Ñœô ¿œô Ñmœô Ñz CD'ye
güveniyoruz ve kuruyoruz. Bu CD'den bir (ya da birden fazla) genel
anahtar çœô Ñkmalœô Ñ (önceden kurmuœô ÿ olanlar için riski az bir yöntem
önerilmeli). Baœô ÿka bir depo eklenecekse bu deponun genel anahtarœô Ñnœô Ñn
olduœô ¿u bir paket CD'den çœô Ñkacak anahtar ile imzalanmœô Ñœô ÿ olmalœô Ñ. Böylece
yeni eklenen depodan kurulum yaparken kullanœô Ñlacak olan anahtar zaten
güvenilen bir kaynaktan kurulmalœô Ñ. 
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2.0.1 (GNU/Linux)

iD8DBQFFvd5cJZJwgy0AK78RAuy/AJ96u7yG34gtE3oVNDD96pzbThny4QCcC5VE
OZjzt1MsHBUabWzZI/KJk68=
=6R5j
-----END PGP SIGNATURE-----