Nel rilascio di Fedora Linux 44, previsto per la primavera del 2026, si prevede di includere di default il controllo della firma digitale nei pacchetti RPM. Se il piano sarà approvato dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo di Fedora Linux, potranno essere installati di default solo pacchetti con una corretta firma digitale. Se necessario, per l'installazione manuale dei pacchetti sarà prevista la possibilità di bypassare il controllo avviando esplicitamente RPM con il flag "--nosignature" o disattivando il controllo tramite l'uso del corrispondente API.
La funzionalità per la verifica dei pacchetti attraverso la firma digitale è stata implementata nel gestore pacchetti RPM 6.0, ma in Fedora 43, nonostante il passaggio a RPM 6, a livello di RPM continua a essere utilizzata solo la verifica dell'integrità tramite hash. L'autenticità dei pacchetti dai repository è verificata a livello dei gestori pacchetti di alto livello YUM e DNF, nei quali la possibilità di verifica tramite firme digitali era stata implementata fin dall'inizio ed è attivata per impostazione predefinita. Ora si intende attivare tale verifica a livello di RPM. Se la modifica viene approvata in Fedora 44, al momento dell'installazione dei pacchetti tramite RPM verranno eseguite sia la verifica dell'integrità tramite hash sia la verifica dell'autenticità tramite la firma digitale, convalidata dalla chiave del costruttore del pacchetto.
Quando si tenta di installare pacchetti senza firma o con una firma non valida, per impostazione predefinita verrà restituito un errore, a meno che l'utente non esegua esplicitamente rpm con il flag «—nosignature». Per lavorare con repository esterni che non generano firme digitali, il gestore di pacchetti DNF 5.2.14.0 ha introdotto la possibilità di disabilitare selettivamente la verifica RPM per singoli pacchetti. Questa funzione è utilizzata nell'insieme di strumenti Mock (mock-core-configs) per gestire le nuove costruzioni di pacchetti. In Mock è stato anche aggiunto un plugin per generare firme per pacchetti locali assemblati, mentre nel servizio Copr (Community projects) è stata implementata la possibilità di generare automaticamente firme.
Si segnala inoltre la data di rilascio di Fedora 43, che avverrà il 28 ottobre.
Fonte: opennet.ru
