☰

Fedora GPG 키가 서명되지 않은 이유는 무엇입니까?

tag-icon • tag-icon debian fedora security cryptography signature
Fedora GPG 키가 서명되지 않은 이유는 무엇입니까?

Fedora는 GPG 키를 사용하여 RPM 패키지와 ISO 체크섬 파일에 서명합니다. 그들을사용 중인 키 나열(지문 포함)을 웹페이지에 등록합니다. 웹페이지는 https를 통해 전달됩니다.

예를 들어체크섬 파일for 은( Fedora-16-i386-DVD.iso는) key 로 서명되었습니다 A82BA4B7.공개 키에 서명한 사람 확인결과는 실망스러운 목록입니다.

비트/keyID cr을 입력하세요. 만료 시간 키 만료 시간

바 4096R/A82BA4B7 2011-07-25            

UID 페도라 (16)
sig sig3 A82BA4B7 2011-07-25 __________ __________ [selfsig]

Fedora 커뮤니티의 어느 누구도 이 중요한 키에 서명하지 않은 것 같습니다!

왜? ;) (Fedora는 왜 신뢰 네트워크를 사용하지 않습니까?) 아니면 제가 뭔가를 놓치고 있는 걸까요?

예를 들어 이것을 비교하십시오.더반- 현재 자동 FTP 서명 키473041FA 7명의 개발자가 계약했습니다..

편집하다:이 일이 왜 중요한가요?

실제 사람이 서명한 중요한 키(아직 누구도 서명하지 않았습니다!)는 공격자가 만든 키가 아니라 실제 키라는 확신을 갖게 합니다. 불과 5분 전에 웹 서버에 업로드되었습니다. 이러한 수준의 신뢰 또는 신뢰를 얻으려면 신뢰 웹 내에서 (이미 신뢰하는 사람과의) 서명 관계를 추적할 수 있어야 합니다. 다른 사람이 서명을 하면 서명할 수 있는 확률이 높아집니다(현재 확률은 0입니다).

이 신뢰를 웹 서핑을 https://mybank.example.net하고 인증 확인 경고를 받는 것과 비교할 수 있습니다. 그래도 거래 세부 정보를 입력하시겠습니까, 아니면 "잠깐만 기다려 주세요!"라고 생각하고 문제 조사를 중단하시겠습니까?

답변1

때로는 키 보유자가 사람이 아닌 키 "sig1"(예: repo 키)에 서명하는 경우도 있습니다.

매뉴얼 페이지에서;

1은 키가 해당 키를 갖고 있다고 주장하는 사람의 것이라고 생각하지만 키를 확인할 수 없거나 키를 전혀 확인하지 않았음을 의미합니다. 이는 익명 사용자의 키에 서명하는 "역할" 인증에 유용합니다.

이러한 서명은 신뢰를 증진하는 데 사용되지 않고 수동 확인/보증에만 사용되므로 이것이 가치를 더한다고 생각합니다.

사람이 아닌/가명 키에 서명하는 사람의 문제는 누가 해당 키를 한동안 제어할 것인지 알 수 없다는 것입니다. 이러한 이유로 대부분의 사람들은 서명을 꺼립니다.

또한 Fedora는 현재 상대적으로 신속하게 키를 변경하고 웹 사이트에 새 지문을 게시하는 반면, 서명한 모든 사람이 서명을 취소하는 데는 시간이 걸립니다.

또 무엇이 더 실용적일까요?

  • 누군가가 Fedora 키(가명 키 아님)의 소유권을 가져갔습니다.
  • Fedora에는 키 서명/해지와 관련된 전담 팀이 있습니다.
  • 현재 지문의 웹페이지는 wot의 누군가가 서명한 것입니다.

하지만... 이미 말했듯이, OS를 설치할 때 저장소 키의 gpg 지문은 서명 여부에 관계없이 설치됩니다... 이를 통해 향후 모든 업데이트가 확인됩니다. 이는 보안의 세계에 추가됩니다.

답변2

Fedora 개발자의 구체적인 추론에 대해서는 말할 수 없지만 서명 키를 신뢰하지 않는 한 아무런 차이가 없습니다.

대면 키 교환이나 절대적으로 신뢰할 수 있는 제3자로부터 서명 키 수신 없이 개인의 키를 맹목적으로 신뢰해서는 안 됩니다.

Fedora 사용자 커뮤니티는 Fedora 개발자 커뮤니티에 비해 상대적으로 규모가 크므로 서명자를 적절하게 신뢰할 수 있는 소수의 사람들에게 어느 정도 가치를 더할 수는 있지만 서명자의 광범위한 배포와 합리적인 신뢰는 대중에게 거의 불가능합니다. ).

SSL을 사용하면 이러한 보안 키 교환이 이미 발생합니다. 이는 브라우저나 운영 체제 공급업체가 사용자를 대신하여 수행합니다. 공개 인증 기관 루트(및 발급) 공개 키는 SSL 신뢰 데이터베이스에 미리 채워져 있습니다. SSL 루트 인증서와 마찬가지로 다양한 운영 체제 저장소에 대한 서명 키가 배포판과 함께 제공됩니다. 따라서 이러한 SSL 루트 인증서가 운영 체제와 함께 배포되는 GPG 서명 키보다 어느 정도 신뢰할 수 있다고 말할 수 있는 근거는 없습니다.

서명 키가 없더라도 GPG 서명 패키지는 여전히 큰 이점을 제공할 수 있습니다. 패키지가 동일한 소스에서 제공되므로 안심할 수 있으며, 설치 이후 서명 키가 변경되었는지 등을 확인할 수 있습니다. 키가 게시된 다른 위치를 살펴보고 다른지 확인할 수도 있습니다.

이것의 최종 효과는 "내가 서명된 패키지를 통해 루트 액세스 권한을 얻으면 Fedora를 사용하는 다른 모든 사람도 마찬가지입니다"라고 말할 수 있게 되는 반면, 서명되지 않은 패키지의 경우 편집증적인 마음은 항상 "누군가 내 거울에 앉아서 *.{rpm,deb,txz}에 악성 코드를 삽입했습니까?"

관련 정보