Esiste un modo per garantire l'autenticità dei download da hackage? Per quanto posso vedere, non c'è niente. Nessun https per hackage e nessuno dei due (forti) checksum per i tarball e nessuno dei due ha firmato.Autenticazione per download di hackage?
Quindi: come posso verificare l'autenticità dei download da hackage?
C'è stato un lavoro significativo su un nuovo server Hackage Real Soon Now. Matt ha lavorato per l'estate del codice. Date un'occhiata al suo blog: http://cogracenotes.wordpress.com/
Si è pensato di mettere in gestione gli accessi dei contributori in modi nuovi e migliori, ma non ancora a verificare l'autenticità dei download.
Il supporto Https, d'altra parte, è previsto essere parte di hackage 2, come ricordo.
I tarball firmati sembrano potenzialmente utili, ma non è stato fatto alcun lavoro per pensare a implementarli. Hackage è open source e sarebbe utile sia ottenere contributi, sia anche solo riflettere attentamente attraverso le proposte di funzionalità.
Grazie. Durante la recente sessione "Haskell nel mondo reale" a Baltimora, non ho avuto la sensazione che a qualcuno importi questo tipo di problemi e che l'attenzione sia rivolta a questioni diverse. Grazie per la risposta! – iustin
Attualmente la risposta è che non è possibile. L'unica autenticazione è per i caricamenti (eseguita dall'autenticazione HTTP di base).
Ci sono vari livelli di sicurezza che le persone chiedono:
Il nuovo server gestirà il secondo problema.
L'aggiunta di un manifest firmato all'indice di hackage risolverebbe il primo. Questa sarebbe una soluzione leggera relativley. Non garantisce che il pacchetto caricato sia da chiunque in particolare o che il server non sia stato violato.
Il terzo sarebbe molto più pesante e non possiamo ragionevolmente sperare che questo sia più che opzionale. Per prima cosa significa che i maintainer devono firmare i loro pacchetti. Significa anche che gli utenti devono in qualche modo gestire un portachiavi o una rete di fiducia simile. Questa sarebbe una grande infrastruttura, ad es. far funzionare gnupg su Windows sarebbe una pita.
Non esiste un controllo di identità dei veri contributori. E nessuna garanzia che mantengano le loro password di caricamento al sicuro. È un'impresa "Mi fido di tutti". – sastanin
Non sono preoccupato per quello, quello che mi piacerebbe è essere sicuro che quello che ho scaricato provenga dal server di "hackage" reale. Autenticare ciò che è su Hackage Hisels è un'altra questione. – iustin