Fedora GPGキーが署名されないのはなぜですか？

FedoraはRPMパッケージとISOチェックサムファイルの署名にGPGキーを使用します。彼らは、使用中のキーリスト、Webページ上の（指紋を含む）を。Webページはhttps経由で配信されます。

例えば、チェックサムファイルのためには、Fedora-16-i386-DVD.isoキーで署名されていますA82BA4B7。誰が公開鍵に署名したかを確認すると、残念なリストが表示されます。

タイプbits / keyID cr。time exp time key expir

pub 4096R / A82BA4B7 2011-07-25            

uid Fedora（16） 
sig sig3 A82BA4B7 2011-07-25 __________ __________ [selfsig]

Fedoraコミュニティの誰もこれらの重要な鍵に署名していないようです！

どうして？;）（Fedoraが信頼のWebを使用しないのはなぜですか？）または何か不足していますか？

これをDebianと比較してください-現在の自動ftp署名キー473041FA は7人の開発者によって署名されています。

編集：なぜこれが重要なのですか？

このような重要なキーに実際の人が署名している（現在は誰も署名していない！）ことで、5分前にWebサーバーにアップロードされた攻撃者によって作成されたものではなく、実際のキーであるというある程度の信頼が確立されました。このレベルの信頼または信頼では、信頼の網（すでに信頼している人々）で署名関係をトレースできることが必要です。そして、あなたがそうすることができる確率は、異なる人がそれに署名するとき、増加しています（現在、確率はゼロです）。

この信頼性とサーフィンをhttps://mybank.example.netして認証確認の警告を受け取ることを比較できます。それでも取引の詳細を入力しますか、それとも「ちょっと待ってください！」と思い、問題を止めて調査しますか？

— マックスシュレープツィヒ
ソース

何を見たいですか？より多くの署名者を獲得することで得られる付加価値は何ですか？ここで厄介なことではなく、必要なものを理解しようとしているだけです。

— ロリーアルソップ

@RoryAlsopは、動機付けをするために質問を更新しました。

— maxschlepzig

SSL証明書は、遠くから完璧。（他のレポートもあると確信しています。これらは、最近の個人のブログアーカイブを非常にすばやく検索してスキャンした結果です。）

— CVn

@MichaelKjörling、SSL証明書（または現在のTLSリビジョン/実装）が完璧であると主張する人はいません。コメントが質問に記載されている問題にどのように関連しているかを明確にしてください。

— maxschlepzig

Avid Fedoraユーザー、私はあなたと一緒です。Tailsのキーをダウンロードし、署名されていなかったのでショックを受けませんでしたが、Fedoraは有能で多くのひげを生やした個人（多くはRHTの従業員）によってまとめられています。かなり奇妙な。おそらく、IRCチャットルームのいずれかでこれを尋ねる方が良いでしょう。またはfedoraforumまたはaskfedoraで。

— -rsaw

回答:

キーホルダーは、人間以外のキー「sig1」に署名する場合があります（たとえば、レポキー）。

manページから。

1は、キーを所有していると主張する人がキーを所有しているが、キーを所有できない、または検証しなかったと考えることを意味します。これは、仮名ユーザーのキーに署名する「ペルソナ」検証に役立ちます。

これらの署名は信頼を促進するために使用されるのではなく、手動の検証/再保証のためにのみ存在するため、これにより価値が高まると考えています。

非人間/仮名キーに署名する人の問題は、誰が...時間内に誰がキーを制御するかわからないことです。ほとんどの人はこの理由で署名したくないでしょう。

さらに、現時点では、Fedoraがキーを置き換えてWebサイトに新しいフィンガープリントを公開するのは比較的高速です。

おそらくより実用的なもの。

誰かがfedoraのキー（非仮名キー）の所有権を取得します
fedoraのキーに近い専任チームがキーの署名/取り消しを行います。
現在の指紋のあるWebページは、wotの誰かによって署名されています。

しかし...すでに述べたように、署名の有無にかかわらず、OSのインストール時にリポジトリキーのgpgフィンガープリントがインストールされます...これにより、すべての将来の更新が検証されます。これにより、セキュリティの世界が追加されます。

— マイクジョネジー
ソース

Fedora開発者の具体的な根拠について話すことはできませんが、署名キーを信頼しない限り、違いはありません。

直接顔を合わせて鍵を交換したり、絶対に信頼する第三者から署名された鍵を受け取ったりすることなく、個人の鍵を盲目的に信頼するべきではありません。

FedoraユーザーコミュニティはFedora開発者コミュニティと比較して比較的大きいため、署名者を適切に信頼できる少数の人々に何らかの価値を追加するものの、署名者の広範な配布と合理的な信頼は一般大衆にとってはありそうにない）。

SSLの場合、この安全なキー交換はすでに行われています。ブラウザまたはOSベンダーがユーザーに代わって実行します。共通認証局のルート（および発行）公開鍵は、SSL信頼データベースに事前入力されています。SSLルート証明書と同様に、さまざまなOSリポジトリの署名キーがディストリビューションに付属しています。したがって、これらのSSLルート証明書は、OSで配布されるGPG署名キーよりも多少信頼できると言う根拠はありません。

パッケージのGPG署名には、署名されたキーがなくても大きな利点があります。パッケージが同じソースからのものであることが保証されます。署名キーがインストール後などで変更されているかどうかを確認できます。また、キーが公開されている可能性がある他の場所を調べて、それが異なるかどうかを確認することもできます。

これは、「署名されたパッケージを介してルート化された場合、Fedoraを使用する他のすべてのユーザーもルート化されます」と言うことができます。ネットワークでミラーリングし、不正なコードを任意の*。{rpm、deb、txz}？にスリップストリームします。」

— マーパ
ソース

信頼できないCAがそれほど多くない場合は、それが機能する可能性があります

— ...-SamB