Sign new releases with a GPG master signing key.
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 30/100
- Loại issue
- Tính năng
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Đình trệ
- Công nghệ
- linux, shell
- Lĩnh vực
- build-system, release, security
Hướng nghiên cứu
Bắt đầu bằng cách xem xét các hướng dẫn xác minh release tại elementary.io/docs/installation và quy trình build/release của OS tạo ra .iso và checksum sha256. Xác định cách một khóa chính GPG offline sẽ ký checksum hoặc ISO và cách người dùng sẽ xác minh nó; được coi là hoàn thành khi các artifact của release và tài liệu hỗ trợ việc xác minh mà không chỉ dựa vào elementary.io.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Currently, if a user wants to verify the integrity of their download, they are directed here:
https://elementary.io/docs/installation
...where the documentation walks them through the process of verifying the sha256 sum of the .iso file they downloaded.
This is a great first step, but the twin linchpins of this whole arrangement are the elementary.io TLS certificate and the admin access to the site.
Anyone who can issue root certificates is currently in a position to serve users malicious copies of elementary OS. Currently, there is no way to detect this.
In addition, if the elementary.io website were compromised, it would also be possible for an attacker to silently serve malicious binaries, even if they cannot issue root TLS certificates.
Offering users the option to check a GPG signature on either a sha256 checksum file or the .iso file itself would solve this problem.
Other projects, such as Debian and Qubes OS, among others, have opted for signing their releases with an offline GPG signing key.
As the Linux Mint developers discovered, you do not want your website to be the single point of failure in your release security:
- Ngôn ngữ chính
- Shell
- Star
- 1.2k
- Fork
- 147
- Merge trung bình
- 22 giờ 39 phút
- Pull request đã merge (30 ngày)
- 30
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Không có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của elementary/os
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 48/100
elementary/os#916 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Add secureboot supportCó thể đã có người làm @jumpyvi đã nhận 18 ngày trước. Đang mởPriority: Medium Release
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 35/100
elementary/os#909 · 1 reaction ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Priority: Wishlist
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 52/100
elementary/os#908 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Preserve flatpak repo cache across (local user) build reruns to speed them upCó thể đã có người làm @vjr đã nhận 30 ngày trước. Đang mở
elementary/os#895 · 2 bình luận · 1 người được giao ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 45/100
elementary/os#890 ·
Maintainer thường phản hồi trong vòng 1 ngày
Tất cả issue của elementary/os
Issue tương tự
-
Icon set for Spotify-launcherĐang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
-
bug priority-medium to-agent
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 70/100
WordPress/Documentation-Issue-Tracker#2540 · 1 bình luận ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
dsx-ai-factory/infra-controller#8301 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100