Re: [de-discuss] Installation von LibreOffice unter openSUSE nur noch lokal möglich

Hi *,

On Do., 24. Aug. 2017, 16:54 Thorsten Behrens <thb@documentfoundation.org>
wrote:

> > Verstehe ich das richtig, dass die Pakete von LibreOffice vorher nicht
> > signiert wurden, jetzt aber signiert sind?



Nein, die rpm/deb Pakete sind auch aktuell nicht signiert.
Die tarballs haben eine gpg Signatur, aber das ist auch schon alles.

Dann überprüft die
> > Softwareinstallation nämlich automatisch die Signatur - sonst wäre das
> > gar nicht passiert.



Das wäre eine ziemlich sinnlose Einstellung.
Signatur nur prüfen, wenn eine vorhanden ist? Dann kann man auch komplett
darauf verzichten.

Rpms haben für die enthaltenen Dateien md5 Prüfsummen für die
Integritätsprüfung, dafür braucht es keine crypto-sig.

Meist haben die distro-frontends zu rpm die Signaturprüfung aktiviert, um
so vor dns-Spoofing / mitm Attacken geschützt zu sein (Angreifer kann sich
nicht einfach als Updateserver ausgeben und falsche Update pakete
ausliefern).

Kenne allerdings noch keine Distro, bei der die Signatur auch beim
Verwenden von rpm direkt eingefordert wird.

Und dann sollte auch ein Schlüssel dazu importiert
> > werden können, ansonsten sorgt die Signatur nur für Probleme und bringt
> > überhaupt keinen Vorteil.
> Ah gute Frage - Cc Cloph - der Key ist auf den üblichen Keyservern,
> KeyID ist 0xF434A1EFAFEEAEA3. Falls das so ist, müßte dann ja
> eigentlich nur das HowTo angepasst werden?

Kommt darauf an, was das howto denn so vorschlägt. Sollte vorschlagen die
tarball sig zu checken und dann rpm direkt auszuführen.

Ciao
Christian

>

-- 
Liste abmelden mit E-Mail an: discuss+unsubscribe@de.libreoffice.org
Probleme? http://de.libreoffice.org/hilfe-kontakt/mailing-listen/abmeldung-liste/
Tipps zu Listenmails: http://wiki.documentfoundation.org/Netiquette/de
Listenarchiv: http://listarchives.libreoffice.org/de/discuss/
Alle E-Mails an diese Liste werden unlöschbar öffentlich archiviert