Nella versione di Fedora Linux 44, prevista per la primavera del 2026, si prevede di includere di default la verifica dei pacchetti tramite firma digitale in RPM. Se il piano verrà approvato dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo di Fedora Linux, saranno installabili di default solo pacchetti con una corretta firma digitale. In caso di necessità di installazione manuale dei pacchetti, sarà possibile bypassare il controllo avviando esplicitamente RPM con l'opzione "—nosignature" o disattivando il controllo tramite l'uso del corrispondente API.
La funzionalità per la verifica dei pacchetti tramite firma digitale è stata implementata nel gestore pacchetti RPM 6.0, ma in Fedora 43, nonostante il passaggio a RPM 6, a livello di RPM continua a essere utilizzata solo la verifica dell'integrità tramite hash, mentre l'autenticità dei pacchetti dai repository viene verificata a livello dei gestori pacchetti ad alto livello YUM e DNF, nei quali la possibilità di verificare tramite firme digitali è stata implementata sin dall'inizio e attivata di default. Ora si prevede di attivare tale verifica a livello di RPM. Qualora la modifica venga approvata in Fedora 44, l'installazione dei pacchetti tramite RPM eseguirà sia la verifica dell'integrità tramite hash che la verifica dell'autenticità tramite la firma digitale, attestata dalla chiave del creatore del pacchetto.
In caso di tentativo di installazione di pacchetti senza firma o con firma non valida, verrà visualizzato un errore di default, a meno che l'utente non avvii esplicitamente rpm con l'opzione "—nosignature". Per lavorare con repository esterni che non generano firme digitali, è stata aggiunta nel gestore pacchetti DNF 5.2.14.0 la possibilità di disattivare selettivamente la verifica in RPM associata a singoli pacchetti. Questa possibilità è utilizzata nello strumento Mock (mock-core-configs) per lavorare con nuove build di pacchetti. In Mock è stato anche aggiunto un plugin per generare firme per i pacchetti costruiti localmente, e nel servizio Copr (Community projects) è stata implementata la possibilità di generare automaticamente firme.
Inoltre, si può notare che la data di rilascio di Fedora 43 è stata confermata per il 28 ottobre.
Fonte: opennet.ru
