Sign releases (gpg)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
The payload names no source files or tests; the work sits in the release process, not the Python code. Start by finding how the GitHub releases page and its artifacts are produced in the repository's release workflow or docs, and confirm whether a signing key already exists. Done means releases ship with a published GPG key, a signature or SHA256SUMS.asc file, and a docs page linked from the downloads page. Key custody needs maintainer input before any change.
索引モデルが issue の本文から書いたものです。
説明
Currently it is not possible to verify the authenticity or cryptographic integrity of the downoads from github.com because the releases are not cryptographically signed.
This makes it hard for your users to safely obtain the b2 software, and it introduces them (and potentially their servers) to watering hole attacks.
Steps to Reproduce
- Go to the releases page https://github.com/Backblaze/B2_Command_Line_Tool/releases
- Click download
- ???
Expected behavior: [What you expected to happen]
A few things are expected:
- I should be able to download the Backblaze release signing PGP key out-of-band from popular third-party keyservers (eg https://keys.openpgp.org/)
- I should be able to download a cryptographic signature of the release (or, better, the releases' digest file, such as a
SHA256SUMS.ascfile) along with the release itself - The downloads page itself should include a link to the documentation page that describes how to do the above two steps
Actual behavior: [What actually happened]
There's just literally no information on verifying downloads, and it appears that it is not possible to do so.
- 主要言語
- Python
- スター
- 638
- フォーク
- 138
- 平均マージ
- 8時間 27分
- マージ済み PR（30日）
- 8
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
Backblaze/B2_Command_Line_Tool のほかの issue
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
Backblaze/B2_Command_Line_Tool#553 · コメント 2 件 · リアクション 3 件 ·
メンテナーはふだん 1 日以内に返信
-
Adopt the AI-native SDLC playbook and repository policies対応中かも @goanpeca が 18 日前に担当しました。 オープンenhancement
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
Backblaze/B2_Command_Line_Tool#1192 ·
メンテナーはふだん 1 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
Backblaze/B2_Command_Line_Tool#1168 ·
メンテナーはふだん 1 日以内に返信
-
Add to MacPortsオープン
難易度 3/5 1〜2日 初心者へのやさしさ 50/100
Backblaze/B2_Command_Line_Tool#1161 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 56/100
Backblaze/B2_Command_Line_Tool#1155 ·
メンテナーはふだん 1 日以内に返信
Backblaze/B2_Command_Line_Tool の issue をすべて見る
似ている issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 72/100
btclib-org/btclib-node#2505 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
open-webui/open-webui#34462 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
gorakhargosh/watchdog#1462 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
openwisp/openwisp-monitoring#889 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
IETF-Hackathon/pqc-certificates#351 ·
メンテナーはふだん 2 日以内に返信