pousser un paquet frauduleux via une faille sur le serveur FTP
Ah oui mais ça c'est une faille du serveur FTP, pas des miroirs Arch en particulier.
faire un quasi-miroir du repository avec des paquets frauduleux et jouer avec les DNS
La vérification se fait au niveau des paquets. Ils sont signés par les clés des devs, qui sont elles-même signées par les super-clés de Arch, qui sont trustés intelligemment par chaque utilisateur (ie il en faut 3 pour faire confiance).
Du coup, imaginons le vilain chenapan qui veut se monter son faux serveur selon ton scénario. Il va utiliser la plupart des paquets officiels, donc signés, plus un ou deux méchants paquets de sa propre création. Lorsque le naïf utilisateur que je suis va télécharger un de ses paquets et tenter de les installer, voici ce qu'il se passe :
soit je tombe sur un paquet frauduleux qui n'est donc pas signé. Selon les réglages, on peut dire je refuse d'installer ce qui n'est pas signé, ou on peut dire tant pis, on installe ça quand même
soit ce paquet est signé. S'il est signé par le créateur officiel, alors on peut être sûr que c'est le vrai paquet, et l'installer; tout se passera comme si j'avais pris ça des serveurs officiels. Ou alors, il est signé par lui-même; si c'est un vilain pas beau, il y a toutes les chances pour que sa clé ne soit pas signée par les fameuses super-clés de Arch. Comme ce sont les seules à qui je fais confiance et que elles-mêmes ne font pas confiance au vilain, je peux être sûr que ce paquet est frauduleux (enfin, je le prends comme tel en tout cas). Et là, pacman te dit gentiment de t'arrêter tout de suite, et le fait même pour toi.
Ce qu'il est important de voir c'est que ce ne sont pas les miroirs qui sont authentifiés, mais bien les paquets. Du coup ceux-ci peuvent être distribués de n'importe quelle manière du moment qu'ils sont signés.
Le problème devient "Comment sont créées ces super-clés, et qui les contrôle ?" Et bien ce sont quelques uns des grands messieurs de la distribution, à qui on peut donc faire confiance. (note: ce ne sont pas leurs clés personnelles, ce sont juste eux qui les gèrent). Ça fait un gros point de centralisation, mais dans l'absolu on peut toujours ajouter la clé d'un copain développeur pour authentifier son travail sans passer par les master clés.
Du coup, on retrouve pas mal la philosophie de Arch: Il faut que tu saches ce que tu fais et pas que tu suives un tuto vaguement balancé dans un coin du ouèbe. Si tu comprends ce qu'il se passe, tu te rends compte de la fragilité ou non du système.
[^] # Re: multiplication des clefs
Posté par rakoo (site web personnel) . En réponse au journal Ta Fedora sera signée par Microsoft. Évalué à 2.
Ah oui mais ça c'est une faille du serveur FTP, pas des miroirs Arch en particulier.
La vérification se fait au niveau des paquets. Ils sont signés par les clés des devs, qui sont elles-même signées par les super-clés de Arch, qui sont trustés intelligemment par chaque utilisateur (ie il en faut 3 pour faire confiance).
Du coup, imaginons le vilain chenapan qui veut se monter son faux serveur selon ton scénario. Il va utiliser la plupart des paquets officiels, donc signés, plus un ou deux méchants paquets de sa propre création. Lorsque le naïf utilisateur que je suis va télécharger un de ses paquets et tenter de les installer, voici ce qu'il se passe :
pacmante dit gentiment de t'arrêter tout de suite, et le fait même pour toi.Ce qu'il est important de voir c'est que ce ne sont pas les miroirs qui sont authentifiés, mais bien les paquets. Du coup ceux-ci peuvent être distribués de n'importe quelle manière du moment qu'ils sont signés.
Le problème devient "Comment sont créées ces super-clés, et qui les contrôle ?" Et bien ce sont quelques uns des grands messieurs de la distribution, à qui on peut donc faire confiance. (note: ce ne sont pas leurs clés personnelles, ce sont juste eux qui les gèrent). Ça fait un gros point de centralisation, mais dans l'absolu on peut toujours ajouter la clé d'un copain développeur pour authentifier son travail sans passer par les master clés.
Du coup, on retrouve pas mal la philosophie de Arch: Il faut que tu saches ce que tu fais et pas que tu suives un tuto vaguement balancé dans un coin du ouèbe. Si tu comprends ce qu'il se passe, tu te rends compte de la fragilité ou non du système.