最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么?
GPG 是需要自己验证的吧?假设你装 Fedora 的时候,验证过 ISO 的 SHA-1 的 GPG 签名(https://fedoraproject.org/en/verify 写着,这一步的 gpg key 是通过 https 下载的),那么之后安装软件包的时候,只要用 rpm -V fedora-release 验证一下预装的 key 是不是可信。如果你觉得预装的 key 没有问题,那么 yum 提示安装软件包、导入 key 的时候就不用担心劫持了。看这个链接,预装的 key 是必需的 https://bugzilla.redhat.com/show_bug.cgi?id=530598
2012/11/6 toknot xiao chopins.xiao@gmail.com:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
我使用rpm -V fedora-release 没有任何输出 原来的KEY是否有效也不知道了
在 2012年11月7日 上午2:20,Yuan Yijun bbbush.yuan@gmail.com写道:
GPG 是需要自己验证的吧?假设你装 Fedora 的时候,验证过 ISO 的 SHA-1 的 GPG 签名(https://fedoraproject.org/en/verify 写着,这一步的 gpg key 是通过 https 下载的),那么之后安装软件包的时候,只要用 rpm -V fedora-release 验证一下预装的 key 是不是可信。如果你觉得预装的 key 没有问题,那么 yum 提示安装软件包、导入 key 的时候就不用担心劫持了。看这个链接,预装的 key 是必需的 https://bugzilla.redhat.com/show_bug.cgi?id=530598
2012/11/6 toknot xiao chopins.xiao@gmail.com:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
rpm -V 没有输出表示没有任何修改。
2012/11/6 toknot xiao chopins.xiao@gmail.com:
我使用rpm -V fedora-release 没有任何输出 原来的KEY是否有效也不知道了
在 2012年11月7日 上午2:20,Yuan Yijun bbbush.yuan@gmail.com写道:
GPG 是需要自己验证的吧?假设你装 Fedora 的时候,验证过 ISO 的 SHA-1 的 GPG 签名(https://fedoraproject.org/en/verify 写着,这一步的 gpg key 是通过 https 下载的),那么之后安装软件包的时候,只要用 rpm -V fedora-release 验证一下预装的 key 是不是可信。如果你觉得预装的 key 没有问题,那么 yum 提示安装软件包、导入 key 的时候就不用担心劫持了。看这个链接,预装的 key 是必需的 https://bugzilla.redhat.com/show_bug.cgi?id=530598
2012/11/6 toknot xiao chopins.xiao@gmail.com:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
没有任何修改是什么意思? 是说我还未导入签名?
在 2012年11月7日 上午4:59,Yuan Yijun bbbush.yuan@gmail.com写道:
rpm -V 没有输出表示没有任何修改。
2012/11/6 toknot xiao chopins.xiao@gmail.com:
我使用rpm -V fedora-release 没有任何输出 原来的KEY是否有效也不知道了
在 2012年11月7日 上午2:20,Yuan Yijun bbbush.yuan@gmail.com写道:
GPG 是需要自己验证的吧?假设你装 Fedora 的时候,验证过 ISO 的 SHA-1 的 GPG 签名(https://fedoraproject.org/en/verify 写着,这一步的 gpg key 是通过 https 下载的),那么之后安装软件包的时候,只要用 rpm -V fedora-release 验证一下预装的 key 是不是可信。如果你觉得预装的 key 没有问题,那么 yum 提示安装软件包、导入 key 的时候就不用担心劫持了。看这个链接,预装的 key 是必需的 https://bugzilla.redhat.com/show_bug.cgi?id=530598
2012/11/6 toknot xiao chopins.xiao@gmail.com:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
意思是你的签名完整,未被破坏 在 2012-11-7 PM4:21,"toknot xiao" chopins.xiao@gmail.com写道:
没有任何修改是什么意思? 是说我还未导入签名?
在 2012年11月7日 上午4:59,Yuan Yijun bbbush.yuan@gmail.com写道:
rpm -V 没有输出表示没有任何修改。
2012/11/6 toknot xiao chopins.xiao@gmail.com:
我使用rpm -V fedora-release 没有任何输出 原来的KEY是否有效也不知道了
在 2012年11月7日 上午2:20,Yuan Yijun bbbush.yuan@gmail.com写道:
GPG 是需要自己验证的吧?假设你装 Fedora 的时候,验证过 ISO 的 SHA-1 的 GPG 签名(https://fedoraproject.org/en/verify 写着,这一步的 gpg key 是通过 https 下载的),那么之后安装软件包的时候,只要用 rpm -V fedora-release 验证一下预装的 key 是不是可信。如果你觉得预装的 key 没有问题,那么 yum 提示安装软件包、导入 key 的时候就不用担心劫持了。看这个链接,预装的 key 是必需的 https://bugzilla.redhat.com/show_bug.cgi?id=530598
2012/11/6 toknot xiao chopins.xiao@gmail.com:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文�件列表:
https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- bbbush ^_^ -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
你可以安装rpm包却不提供验证其真实性.下载的包,是这样的,首先下载仓库的索引,然后按照索引下载文件,假如最终的md5不一致,就会被抛弃.
在 2012年11月7日星期三,toknot xiao 写道:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
@Christopher Meng: 原来是这样,那就没什么好担心了,只是经常因为HTTP劫持而下载失败 @杜宏羽: 但是我发现我下载的索引文件也是被劫持的,所以用文件的MD5来校验也不是可靠的
在 2012年11月7日 下午5:15,杜宏羽 dongfengweixiao@gmail.com写道:
你可以安装rpm包却不提供验证其真实性.下载的包,是这样的,首先下载仓库的索引,然后按照索引下载文件,假如最终的md5不一致,就会被抛弃.
在 2012年11月7日星期三,toknot xiao 写道:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文�件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
小区宽带,运营商为了节省流量对所有下载都做了缓存代理,抓包分析好像是用nginx之类的搞代理 因为有时打开网页会有时会有广告(地址是一个固定IP,所以能确定时运营商的),所以对于下载软件不得不防
这个不怕,源里面的rpm本身还有自己的签名,而默认的新版本的yum我记得是打开签名验证的
在 2012年11月7日星期三,toknot xiao 写道:
@Christopher Meng: 原来是这样,那就没什么好担心了,只是经常因为HTTP劫持而下载失败 @杜宏羽: 但是我发现我下载的索引文件也是被劫持的,所以用文件的MD5来校验也不是可靠的
在 2012年11月7日 下午5:15,杜宏羽 <dongfengweixiao@gmail.com javascript:;>写道:
你可以安装rpm包却不提供验证其真实性.下载的包,是这样的,首先下载仓库的索引,然后按照索引下载文件,假如最终的md5不一致,就会被抛弃.
在 2012年11月7日星期三,toknot xiao 写道:
最近更新系统发现HTTP下载会被运营商劫持,而且YUM下载的时候大量使用的是HTTP协议,因此也会被劫持,然后导致更新错误 虽然我知道安装新源的时候会要求导入一个GPG签名,不知道yum是否会对下载服务器进行验证, 以及是否对包进行安全校验,校验的方法是什么? -- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
-- Fedora中文郵件列表:https://admin.fedoraproject.org/mailman/listinfo/chinese
chinese@lists.fedoraproject.org