Warum sind die Fedora GPG-Schlüssel nicht signiert?

Fedora verwendet GPG-Schlüssel zum Signieren von RPM-Paketen und ISO-Prüfsummen. Sie listen die verwendeten Schlüssel (einschließlich Fingerabdrücke) auf einer Webseite auf. Die Webseite wird über https geliefert.

Beispielsweise wird die Prüfsummendatei für Fedora-16-i386-DVD.isomit dem Schlüssel signiert A82BA4B7. Die Überprüfung, wer den öffentlichen Schlüssel signiert hat, führt zu einer enttäuschenden Auflistung:

Geben Sie bits / keyID cr ein. time exp time key expir

Pub 4096R / A82BA4B7 25.07.2011            

uid Fedora (16) 
sig sig3 A82BA4B7 25.07.2011 __________ __________ [selfsig]

Es scheint, dass niemand aus der Fedora-Community diese wichtigen Schlüssel unterschrieben hat!

Warum? ;) (Warum nutzt Fedora kein Vertrauensnetz?) Oder vermisse ich etwas?

Vergleichen Sie dies zB mit Debian - ihr aktueller automatischer FTP-Signaturschlüssel 473041FA wird von 7 Entwicklern signiert .

Edit: Warum ist das wichtig?

Wenn ein so wichtiger Schlüssel von echten Personen signiert wird (derzeit wird er von niemandem signiert!), Wird ein gewisses Maß an Vertrauen geschaffen, dass es sich um den echten Schlüssel handelt und nicht um einen Schlüssel, der von einem Angreifer erstellt wurde, der vor 5 Minuten auf den Webserver hochgeladen wurde. Diese Vertrauensebene erfordert, dass Sie Signaturbeziehungen in einem Vertrauensnetz nachverfolgen können (zu Personen, denen Sie bereits vertrauen). Und die Wahrscheinlichkeit, dass Sie dazu in der Lage sind, steigt, wenn verschiedene Personen es unterschreiben (derzeit ist die Wahrscheinlichkeit Null).

Sie können diese Vertrauenssache mit dem Surfen vergleichen https://mybank.example.netund eine Warnung zur Bestätigung der Zertifizierung erhalten. Würden Sie dann immer noch Ihre Transaktionsdetails eingeben oder denken Sie, dass Sie eine Minute warten müssen, um das Problem zu untersuchen?

Manchmal signieren Schlüsselinhaber nichtmenschliche Schlüssel "sig1" (zum Beispiel Repo-Schlüssel).

von der Manpage;

1 bedeutet, Sie glauben, dass der Schlüssel der Person gehört, die behauptet, er zu besitzen, aber Sie konnten den Schlüssel nicht oder gar nicht verifizieren. Dies ist nützlich für eine "Persona" -Verifizierung, bei der Sie den Schlüssel eines pseudonymen Benutzers signieren.

Ich bin der Meinung, dass dies einen Mehrwert darstellen könnte, da diese Signaturen nicht zur Förderung des Vertrauens verwendet werden, sondern nur zur manuellen Überprüfung / Bestätigung dienen.

Das Problem bei jedem, der einen nicht-menschlichen / pseudonymen Schlüssel signiert, ist, dass wir nicht wissen, wer in ... der Zeit die Kontrolle über den Schlüssel hat. Die meisten Menschen werden aus diesem Grund nicht unterschreiben wollen.

Außerdem ist es für Fedora derzeit relativ schnell, den Schlüssel zu ersetzen und einen neuen Fingerabdruck auf ihrer Website zu veröffentlichen. Es würde eine Weile dauern, bis alle, die unterschrieben haben, die Unterschriften widerrufen.

Was könnte praktischer sein;

• jemand übernimmt den Besitz des Schlüssels bei Fedora (nicht pseudonymer Schlüssel)
• ein engagiertes team in schlüsselnähe bei fedora signiert / widerruft den schlüssel.
• Die Webseite mit dem aktuellen Fingerabdruck wird von jemandem in WOT signiert.

Aber ... wie bereits gesagt, mit oder ohne Signatur, werden gpg-Fingerabdrücke der Repo-Schlüssel installiert, wenn Sie das Betriebssystem installieren ... dies validiert alle zukünftigen Updates. Dies fügt eine Welt der Sicherheit hinzu.

Ich kann nicht auf die spezifischen Gründe der Fedora-Entwickler eingehen, aber es macht keinen Unterschied, wenn Sie den Signaturschlüsseln nicht vertrauen.

Man sollte dem Schlüssel einer Person nicht blind vertrauen, ohne sich persönlich getroffen und Schlüssel ausgetauscht zu haben oder den unterschriebenen Schlüssel von einem Dritten erhalten zu haben, dem man absolut vertraut.

Da die Fedora - Benutzergemeinschaft im Vergleich zur Fedora - Entwicklergemeinschaft relativ groß ist, ist eine breite Verbreitung und ein vernünftiges Vertrauen der Unterzeichner für die breite Öffentlichkeit unwahrscheinlich, obwohl dies einen gewissen Mehrwert für die geringe Anzahl von Personen bedeuten würde, die in der Lage sind, den Unterzeichnern richtig zu vertrauen ).

Im Falle von SSL hat dieser sichere Schlüsselaustausch bereits stattgefunden - er wird in Ihrem Auftrag von Ihrem Browser oder Betriebssystemhersteller durchgeführt. Öffentliche Stammschlüssel (und ausstellende öffentliche Schlüssel) von Common Certificate Authority sind in Ihrer SSL-Vertrauensdatenbank bereits ausgefüllt. Ähnlich wie bei SSL-Root-Zertifikaten werden die Signaturschlüssel für verschiedene Betriebssystem-Repositorys mit der Distribution geliefert. Aus diesem Grund kann nicht davon ausgegangen werden, dass diese SSL-Stammzertifikate mehr oder weniger vertrauenswürdig sind als die mit Ihrem Betriebssystem gelieferten GPG-Signaturschlüssel.

Das GPG-Signieren von Paketen bietet auch ohne signierten Schlüssel noch erhebliche Vorteile. Sie können sicher sein, dass Ihre Pakete aus derselben Quelle stammen, und Sie können sicher sein, dass sich der Signaturschlüssel seit der Installation geändert hat.

Dies hat den Nettoeffekt, dass Sie sagen können: "Wenn ich über ein signiertes Paket gerootet bin, sind auch alle anderen, die Fedora verwenden, gerootet." das Netzwerk spiegeln und schädlichen Code in eine beliebige *. {rpm, deb, txz}? "