In der Fedora Linux 44-Version, die für das Frühjahr 2026 geplant ist, soll standardmäßig die Überprüfung von Paketen anhand digitaler Signaturen in RPM integriert werden. Wenn der Plan vom FESCo-Komitee (Fedora Engineering Steering Committee), das für den technischen Teil der Entwicklung von Fedora Linux verantwortlich ist, genehmigt wird, können standardmäßig nur Pakete mit einer gültigen digitalen Signatur installiert werden. Bei Bedarf wird die Möglichkeit eröffnet, die Überprüfung zu umgehen, indem RPM explizit mit dem Flag „—nosignature“ gestartet wird oder die Überprüfung durch Nutzung der entsprechenden API deaktiviert wird.
Die Funktion zur Verifizierung von Paketen anhand digitaler Signaturen wurde im Paketmanager RPM 6.0 implementiert, aber in Fedora 43, trotz des Wechsels zu RPM 6, wird auf RPM-Ebene weiterhin nur die Überprüfung der Integrität durch Hashes verwendet, während die Authentizität von Paketen aus Repositories auf der Ebene der hochrangigen Paketmanager YUM und DNF überprüft wird, in denen die Möglichkeit zur Verifizierung durch digitale Signaturen ursprünglich implementiert und standardmäßig aktiviert wurde. Nun beabsichtigt man, eine ähnliche Überprüfung auf RPM-Ebene zu aktivieren. Bei Genehmigung der Änderung wird in Fedora 44 bei der Installation von Paketen über RPM sowohl eine Überprüfung der Integrität durch Hash als auch eine Authentifizierung durch digitale Signatur, die durch den Schlüssel des Paketbauers beglaubigt ist, durchgeführt.
Beim Versuch, Pakete ohne Signatur oder mit ungültiger Signatur zu installieren, wird standardmäßig ein Fehler angezeigt, es sei denn, der Benutzer hat RPM explizit mit dem Flag „—nosignature“ gestartet. Für die Arbeit mit externen Repositories, die keine digitalen Signaturen erzeugen, wurde im Paketmanager DNF 5.2.14.0 die Möglichkeit zur selektiven Deaktivierung der RPM-Verifizierung in Bezug auf einzelne Pakete hinzugefügt. Diese Möglichkeit wird im Mock-Toolkit (mock-core-configs) zur Arbeit mit neuen Paketversionen genutzt. Im Mock wurde auch ein Plugin zur Erstellung von Signaturen für lokal gebaute Pakete hinzugefügt, und im Copr-Service (Community projects) wurde die Möglichkeit zur automatischen Erstellung von Signaturen realisiert.
Zusätzlich kann das Veröffentlichungsdatum von Fedora 43, das am 28. Oktober stattfinden wird, erwähnt werden.
Quelle: opennet.ru
