[Gelistirici] Paket İmzalama - Eski Bir Hikaye

[Bahadır Kandemir]

> yogun bir sinav donemindeyim bu nedenle yazilanlar hakkinda uzun uzun
> düsünmedim, ama aklima bir baska konu geldi imzalama ile ilgili.
> Sadece paketlerin degil depo indeksinin de imzalanmasi gerektigini
> düsünüyorum. Acaba yaniliyor muyum?

Paketlerin tek başlarına da dağıtılabileceklerinü düşünerek, sadece indeks
imzalamanın yeterli olmayacağına karar verdik. Indeksi imzalayacağız,
paketleri indirmeye başlamadan önce, deponun güvenirliğini kontrol etmek
iyi olur.

> Bir de paket icindeki dosyalarin tek tek imzalanmasi sart mi acaba?

PISI içinde, metadata.xml, files.xml, sisteme kurulacak paketleri içeren
install.tar.lzma dosyaları ve comar betikleri bulunuyor. Bu dosyaları tek
tek imzalamak yerine, bu dosyalar kullanılarak oluşturulan şöyle bir data
imzalanıyor:

metedata.xml bbf0537a95becae8fb8d08578e59b5d89919e07d
files.xml 85a93c108659ec28ecccee99cf6719663d0c1c7f
install.tar.lzma 722fffe8f1c254a48883b0db42b90c10aa3cb688
comar/package.py e2dd6497df867630e38527a52c8da3de50d426a0

install.tar.lzma imzalanmasa da olur belki, files.xml içinde sisteme
kurulacak dosyaların listesi ve SUM'ları var nasılsa.