W wydaniu Fedora Linux 44, zaplanowanym na wiosnę 2026 roku, planuje się domyślną kontrolę pakietów za pomocą podpisu cyfrowego w RPM. Jeśli plan zostanie zatwierdzony przez komitet FESCo (Fedora Engineering Steering Committee), odpowiedzialny za część techniczną rozwoju Fedora Linux, domyślnie będą mogły być instalowane tylko pakiety z poprawnym podpisem cyfrowym. W razie potrzeby ręcznej instalacji pakietów przewidziano możliwość ominięcia kontroli poprzez wyraźne uruchomienie RPM z flagą „—nosignature” lub wyłączenie weryfikacji za pomocą odpowiedniego API.
Funkcjonalność weryfikacji pakietów za pomocą podpisu cyfrowego została zrealizowana w menedżerze pakietów RPM 6.0, ale w Fedora 43, mimo przejścia na RPM 6, na poziomie RPM wciąż używana jest tylko weryfikacja integralności za pomocą hashy, a autentyczność pakietów z repozytoriów jest weryfikowana na poziomie wysokopoziomowych menedżerów pakietów YUM i DNF, w których możliwość weryfikacji za pomocą podpisów cyfrowych została wprowadzona od samego początku i włączona domyślnie. Teraz podobną weryfikację zamierzają wprowadzić na poziomie RPM. W przypadku zatwierdzenia zmiany w Fedora 44 podczas instalacji pakietów przez RPM będą przeprowadzane zarówno kontrole integralności za pomocą hasha, jak i weryfikacja autentyczności za pomocą podpisu cyfrowego, poświadczonego kluczem twórcy pakietu.
Podczas próby instalacji pakietów bez podpisu lub z niepoprawnym podpisem domyślnie wyświetlany będzie błąd, jeśli użytkownik wyraźnie nie uruchomił rpm z flagą „—nosignature”. Aby pracować z zewnętrznymi repozytoriami, które nie tworzą podpisów cyfrowych, do menedżera pakietów DNF 5.2.14.0 dodano możliwość selektywnego wyłączania w RPM weryfikacji związanej z poszczególnymi pakietami. Ta funkcjonalność została wprowadzona w narzędziu Mock (mock-core-configs) do pracy z nowymi budowami pakietów. W Mock dodano również wtyczkę do tworzenia podpisów dla lokalnych pakietów budowanych, a w serwisie Copr (Community projects) wprowadzono możliwość automatycznego tworzenia podpisów.
Dodatkowo można zauważyć, że zatwierdzono datę wydania Fedora 43, która nastąpi 28 października.
Źródło: opennet.ru
