StackStorm/st2-packages

Sign packages, turn on GPG verification

Ouverte

#303 ouverte le 24 mai 2016

Voir sur GitHub
 (5 commentaires) (0 réaction) (0 personne assignée)Shell (63 forks)auto 404
featurehelp wantedsecurity

Métriques du dépôt

Stars
 (28 étoiles)
Métriques de merge PR
 (Métriques PR en attente)

Description

According to packagecloud, they only sign the package meta. The gpg verify is turned off on packages explicitly. I think we need to start signing those packages via st2-packages before shipping it to packagecloud. We also need to add a step in install script to download st2 gpg keys and install it. Also, figure out how to turn on gpg verification with packagecloud.

[StackStorm_stable]
name=StackStorm_stable
baseurl=https://packagecloud.io/StackStorm/stable/el/7/$basearch
repo_gpgcheck=1
gpgcheck=0
enabled=1
gpgkey=https://packagecloud.io/StackStorm/stable/gpgkey
sslverify=1
sslcacert=/etc/pki/tls/certs/ca-bundle.crt

[StackStorm_stable-source]
name=StackStorm_stable-source
baseurl=https://packagecloud.io/StackStorm/stable/el/7/SRPMS
repo_gpgcheck=1
gpgcheck=0
enabled=1
gpgkey=https://packagecloud.io/StackStorm/stable/gpgkey
sslverify=1
sslcacert=/etc/pki/tls/certs/ca-bundle.crt

Guide contributeur

Direction de recherche
Étudiez le processus de construction de st2 packages, identifiez où les paquets sont construits et téléchargés sur packagecloud. Implémentez la signature GPG des paquets avant le téléchargement, générez ou importez une clé GPG, et modifiez le script d'installation pour télécharger la clé et définir gpgcheck=1 dans la configuration du dépôt. Testez l'installation avec la vérification GPG activée.
Stack technique
shell
Domaine
devopssecurityinfrastructure
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-2 jours
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GitShell scripting
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40