¿Hay alguna manera de garantizar la autenticidad de las descargas de hackage? Por lo que puedo ver, no hay nada. No https por hackage, ni sumas de comprobación (fuertes) para tarballs, y tampoco están firmados.Autenticación para descargas de hackages?
Entonces, ¿cómo puedo verificar la autenticidad de las descargas de hackage?
Ha habido un trabajo significativo en un nuevo servidor de Hackage Real Soon Now. Matt trabajó en ello durante el verano del código. Eche un vistazo a su blog: http://cogracenotes.wordpress.com/
Se ha pensado en la administración de los inicios de sesión de los contribuidores de formas nuevas y mejores, pero aún no en la verificación de la autenticidad de las descargas.
El soporte de Https, por otro lado, está programado para ser parte de hackage 2, según recuerdo.
Los archivos tar firmados suenan potencialmente útiles, pero simplemente no se ha hecho el trabajo para pensar en implementarlos. El hackage es de código abierto, y sería útil recibir contribuciones, o incluso pensar cuidadosamente a través de las propuestas de características.
Gracias. Durante la reciente sesión de "Haskell en el mundo real" en Baltimore, no tuve la sensación de que a nadie le importen estos temas, y que el enfoque se centra en diferentes asuntos. Gracias por su respuesta! – iustin
Actualmente la respuesta es que no se puede. La única autenticación es para carga (realizada por autenticación HTTP básica).
Hay varios niveles de seguridad que la gente pregunta por:
El nuevo servidor manejará el segundo problema.
Agregar un manifiesto firmado al índice de pirateo resolvería el primero. Esa sería una solución relativley ligera. No garantiza que el paquete cargado sea de alguien en particular o que el servidor no haya sido pirateado.
El tercero sería mucho más pesado y no podemos esperar que esto sea algo más que opcional. Por un lado, significa que los mantenedores tienen que firmar sus paquetes. También significa que los usuarios de alguna manera tienen que administrar un llavero o una red similar de confianza. Esta sería una gran cantidad de infraestructura, por ejemplo hacer que gnupg funcione en Windows sería una pita.
No hay verificación de identidad real de los contribuyentes. Y no hay garantía de que mantengan sus contraseñas de carga seguras. Es una empresa "Confío en todos". – sastanin
No me preocupa eso, lo que me gustaría es estar seguro de que lo que descargo proviene del servidor de hackage "real". Autenticar lo que está en los archivos de hackage es otro asunto. – iustin