Исходное сообщение
"Доступны новые установочные сборки Void Linux" Отправлено OpenEcho, 23-Фев-21 13:45
> А не обязательно деанонить автора сорцев, достаточно того, что человек своей репутацией отвечает, его подписям будут доверять. не проверенная подпись не может быть ассоцирована с кем либо, какой бы репутацией человек не обладал. > Если он не зашкварился нигде, его код проходил проверку, почему бы его подписям не доверять? А где гарантия, что подпись его? > ...у дистроразрабов например всё построено на репутации человека как кодера... Причем здесь доверие людям и обезличенные подписи, которые не имеют механизама проверки подлиности ??? >И что толку,  что чисто формально у копрорастов можно проследить кто чего делал Пока нет гарантии, что подпись действительно принадлежит тому ЖИВОМУ настоящему человеку которoму вы верите - то его подписи грош цена, так как любой может воспользоваться его авторитетом и генернуть ключик от его имени. Если вы будете ссылаться на PGP сервера, то рекомендую вам поиграться с ними и закинуть туда свой ключик от имени Торвальдоса. Как мне потом отличить настояшего от вас? Если вы мне скажите - "так вон же хэш его ключа на его сайте, иди и проверяй", то я вас могу разочаровать, сервера, любые - подверженны взломам и если провести целенаправленную атаку по созданию левого ключа и подменить хаш на сайте на достопочтимом и уважаемом вами кодере, то ...  PGP подписи - это само обман. Без надежного механизма проверки подписи, это все равно, что верить на слово, причем через третьи руки