In der für das Frühjahr 2026 geplanten Ausgabe von Fedora Linux 44 wird standardmäßig die Überprüfung von Paketen anhand digitaler Signaturen in RPM integriert. Sollte der Plan vom Fedora Engineering Steering Committee (FESCo), das für den technischen Teil der Entwicklung von Fedora Linux zuständig ist, genehmigt werden, können standardmäßig nur Pakete mit einer gültigen digitalen Signatur installiert werden. Für den Fall einer manuellen Installation von Paketen besteht die Möglichkeit, die Überprüfung durch einen expliziten Aufruf von RPM mit dem Flag „—nosignature“ zu umgehen oder die Überprüfung über die entsprechende API zu deaktivieren.
Die Funktionalität zur Verifizierung von Paketen anhand digitaler Signaturen wurde im Paketmanager RPM 6.0 implementiert, doch in Fedora 43 wird trotz der Umstellung auf RPM 6 weiterhin nur die Integritätsprüfung über Hashes auf der Ebene von RPM verwendet, während die Echtheit der Pakete aus den Repositories auf der Ebene der höherstufigen Paketmanager YUM und DNF überprüft wird, in denen die Möglichkeit zur Verifikation über digitale Signaturen ursprünglich implementiert und standardmäßig aktiviert wurde. Diese Art der Überprüfung soll nun auch auf der Ebene von RPM verwendet werden. Bei Genehmigung der Änderung in Fedora 44 wird bei der Installation von Paketen über RPM sowohl die Hash-Integritätsprüfung als auch die Echtheitsprüfung über digitale Signaturen, die mit dem Schlüssel des Paketbauträgers signiert sind, durchgeführt.
Beim Versuch, Pakete ohne Signatur oder mit ungültiger Signatur zu installieren, wird standardmäßig ein Fehler ausgegeben, es sei denn, der Benutzer hat RPM explizit mit dem Flag „—nosignature“ gestartet. Um mit externen Repositories zu arbeiten, die keine digitalen Signaturen erstellen, wurde im Paketmanager DNF 5.2.14.0 die Möglichkeit hinzugefügt, die RPM-Verifizierung selektiv für einzelne Pakete zu deaktivieren. Diese Möglichkeit wird im Mock-Toolkit (mock-core-configs) für die Arbeit mit neuen Paketbauten genutzt. Im Mock wurde auch ein Plugin hinzugefügt, um Signaturen für lokal gebaute Pakete zu erstellen, und im Copr-Dienst (Community Projects) wurde die Möglichkeit implementiert, Signaturen automatisch zu generieren.
Zusätzlich kann das Veröffentlichungsdatum von Fedora 43, das am 28. Oktober stattfinden wird, erwähnt werden.
Quelle: opennet.ru
