No lançamento do Fedora Linux 44, previsto para a primavera de 2026, está planejado incluir a verificação de pacotes por assinatura digital no RPM por padrão. Se o plano for aprovado pelo comitê FESCo (Fedora Engineering Steering Committee), responsável pela parte técnica do desenvolvimento do Fedora Linux, somente pacotes com assinatura digital correta poderão ser instalados por padrão. Se necessário, para a instalação manual de pacotes, será possível contornar a verificação iniciando o RPM com a flag "—nosignature" ou desativando a verificação através do uso da API correspondente.
A funcionalidade para verificação de pacotes por assinatura digital foi implementada no gerenciador de pacotes RPM 6.0, mas no Fedora 43, apesar da transição para o RPM 6, apenas a verificação de integridade com hashes está em uso no nível do RPM, enquanto a autenticidade dos pacotes dos repositórios é verificada em um nível mais alto pelos gerenciadores de pacotes YUM e DNF, onde a verificação por assinaturas digitais foi implementada desde o início e está ativada por padrão. Agora, essa verificação deverá ser utilizada no nível do RPM. Se a alteração for aprovada no Fedora 44, ao instalar pacotes através do RPM, ambas as verificações, de integridade por hash e de autenticidade por assinatura digital, validada pela chave do mantenedor do pacote, serão realizadas.
Ao tentar instalar pacotes sem assinatura ou com assinatura incorreta, será exibido um erro por padrão, a menos que o usuário tenha iniciado o rpm explicitamente com a flag "—nosignature". Para trabalhar com repositórios externos que não geram assinaturas digitais, foi adicionada ao gerenciador de pacotes DNF 5.2.14.0 a possibilidade de desativar seletivamente a verificação no RPM para pacotes específicos. Essa funcionalidade é utilizada na ferramenta Mock (mock-core-configs) para trabalhar com novas compilações de pacotes. No Mock, também foi adicionado um plugin para gerar assinaturas para pacotes locais compilados, e no serviço Copr (Community projects) foi implementada a capacidade de gerar assinaturas automaticamente.
Além disso, vale ressaltar a confirmação da data de lançamento do Fedora 43, que ocorrerá em 28 de outubro.
Fonte: opennet.ru
