Fedora планирует по умолчанию блокировать неподписанные RPM-пакеты

Разработчики Fedora предложили включить проверку подписей RPM по умолчанию в Fedora 44, ожидая рассмотрения и одобрения FESCo.

Разработчики Fedora предложили системные изменения для Fedora 44, которые будут по умолчанию проверять подписи пакетов RPM с целью усиления безопасности в цепочке поставок программного обеспечения. Хотя Fedora и DNF давно требуют проверки подписей для репозиториев, сам RPM исторически рассматривал неподписанные пакеты как допустимые.

Если изменение будет принято, Fedora будет следовать настройкам по умолчанию upstream RPM 6.0, которые позволяют устанавливать только пакеты с проверенными криптографическими подписями. На практике это означает, что пользователи не смогут устанавливать неподписанные RPM, если они явно не обойдут процесс проверки с помощью флага --nosignature или соответствующего вызова API.

Как объясняет автор предложения Пану Матиляйнен из Red Hat:

«Традиционное поведение RPM <= 4.x заключалось в проверке подписей, если они присутствуют и могут быть проверены, но никогда не требовалось это делать. Такое поведение каким-то образом могло быть приемлемо в девяностые, но не соответствует современным требованиям безопасности.»

Команда Fedora отмечает, что менеджер пакетов DNF5 (версии 5.2.14 или выше) уже включает возможность отключения проверки подписи для отдельных пакетов. Это позволяет таким инструментам, как mock и COPR, продолжать сборку и тестирование неподписанных пакетов без нарушения рабочих процессов.

Кроме того, локально собранные пакеты с использованием rpmbuild также будет проще подписывать автоматически благодаря новой поддержке RPM 6.0 для подписи ключей без пароля через скрипт настройки (/usr/lib/rpm/rpm-setup-autosign).

Для большинства пользователей Fedora это изменение не должно оказать заметного влияния. Официальные репозитории и сборки COPR уже используют подписанные пакеты. Однако разработчикам, которые используют неподписанные локальные пакеты, возможно, придется изменить рабочие процессы — либо подписывая свои сборки, либо используя явные обходные решения.

Предложение пройдет общественное обсуждение, прежде чем будет рассмотрено Советом по инженерным вопросам Fedora (FESCo), ключевым управляющим органом проекта Fedora, который контролирует различные технические решения, связанные с развитием дистрибутива. Если предложение будет одобрено, изменение появится в версии Fedora 44, ожидаемой следующей весной. В противном случае его могут отложить до будущего выпуска, например, Fedora 45.

Для получения дополнительной информации см. саму предложение.