subject:"Re\: нет Release.gpg на Etch DVD\?"

В сообщении от Wednesday 18 April 2007 10:53 Vladislav Naumov написал(a):
.
   перезаписал эти файлы на то, что было на ближнем зеркале Debian:
   dists/etch/main/binary-i386/Release
   dists/etch/main/binary-i386/Packages.bz2
   dists/etch/main/binary-i386/Packages.gz
   dists/etch/Release.gpg
   dists/etch/contrib/binary-i386/Release
   dists/etch/contrib/binary-i386/Packages.bz2
   dists/etch/contrib/binary-i386/Packages.gz
   dists/etch/Release
.
подумал, а что если эти файлы разбить на три куска (соответственно содержимому 
дисков) и положить на каждый образ:) чтобы впоследствии граблей  не иметь при 
отсуствии интернета (да и не генерить лишний траффик для закачки файлов с 
подписями) при организации зеркала где-нибудь еще
как такое решение с политической точки зрения? :)

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

В сообщении от Wednesday 18 April 2007 10:53 Vladislav Naumov написал(a):
  а подробнее? ;)
  конкретно отсимлинкал содержимое всех ДВД в кучу

 1) Создал /mnt/dist/debian-40r0-i386
 2) Сделал симлинки на все смонтированные диски (deeplink в аттаче)
   deeplink /mnt/debian-40r0-i386-DVD-3 /mnt/dist/debian-40r0-i386
   deeplink /mnt/debian-40r0-i386-DVD-2 /mnt/dist/debian-40r0-i386
   deeplink /mnt/debian-40r0-i386-DVD-1 /mnt/dist/debian-40r0-i386
кстати, вот тут неправильно. надо использовать относительные пути, а то по ftp 
не будут отдавать файлы

 5) Естественно, если планируется это раздавать по ftp/http, то надо
   объяснить раздающему (apache/proftpd/что-там-у-вас), что симлинки -
   это нормально.
вот как раз к этой фразе

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-19 Пенетрантность Artem Chuprina

Anatoly Kanashin - debian-russian@lists.debian.org  @ Thu, 19 Apr 2007 
10:06:31 +0400:

 .
перезаписал эти файлы на то, что было на ближнем зеркале Debian:
dists/etch/main/binary-i386/Release
dists/etch/main/binary-i386/Packages.bz2
dists/etch/main/binary-i386/Packages.gz
dists/etch/Release.gpg
dists/etch/contrib/binary-i386/Release
dists/etch/contrib/binary-i386/Packages.bz2
dists/etch/contrib/binary-i386/Packages.gz
dists/etch/Release
 .
 AK подумал, а что если эти файлы разбить на три куска (соответственно
 AK содержимому дисков) и положить на каждый образ:) чтобы впоследствии
 AK граблей не иметь при отсуствии интернета (да и не генерить лишний
 AK траффик для закачки файлов с подписями) при организации зеркала
 AK где-нибудь еще  как такое решение с политической точки зрения?
 AK :)

Представил себе, как ты режешь чужую цифровую подпись на три
куска...  Повеселился.

-- 
Artem Chuprina
RFC2822: ran{}ran.pp.ru Jabber: [EMAIL PROTECTED]

Нет применения человеческому разуму! (c)JB


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?


Twas brillig at 11:44:26 19.04.2007 UTC+04 when Artem Chuprina did gyre and 
gimble:

 AK подумал, а что если эти файлы разбить на три куска (соответственно
 AK содержимому дисков) и положить на каждый образ:) чтобы впоследствии
 AK граблей не иметь при отсуствии интернета (да и не генерить лишний траффик
 AK для закачки файлов с подписями) при организации зеркала где-нибудь еще
 AK как такое решение с политической точки зрения?  :)

 AC Представил себе, как ты режешь чужую цифровую подпись на три куска...
 AC Повеселился.

А подпись можно и не резать, просто положить на каждый диск по
Release/Release.gpg и оригинальные Packages/Sources, чтобы чексуммы архивов
сверять.

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-19 Пенетрантность Artem Chuprina

Mikhail Gusarov - debian-russian@lists.debian.org @ Thu, 19 Apr 2007 14:53:18
+0700:

AK подумал, а что если эти файлы разбить на три куска (соответственно
AK содержимому дисков) и положить на каждый образ:) чтобы впоследствии
AK граблей не иметь при отсуствии интернета (да и не генерить лишний траффик
AK для закачки файлов с подписями) при организации зеркала где-нибудь
еще
AK как такое решение с политической точки зрения? :)

AC Представил себе, как ты режешь чужую цифровую подпись на три куска...
AC Повеселился.

MG А подпись можно и не резать, просто положить на каждый диск по
MG Release/Release.gpg и оригинальные Packages/Sources, чтобы чексуммы
MG архивов сверять.

Там же два уровня проверки. Тебе понадобятся те Packages, которые были
там, где подписан Release. Т.е. Packages всего архива. При этом apt
будет пытаться притащить все файлы с первого образа - они ж в его
Packages прописаны.

--
Artem Chuprina
RFC2822: ran{}ran.pp.ru Jabber: [EMAIL PROTECTED]

An ideal world is left as an exercise to the reader.
Paul Graham, On Lisp

--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-19 Пенетрантность Alexander GQ Gerasiov


Twas brillig at 12:37:43 19.04.2007 UTC+04 when Artem Chuprina did gyre and 
gimble:

 AC Там же два уровня проверки.  Тебе понадобятся те Packages, которые были
 AC там, где подписан Release.  Т.е. Packages всего архива.  При этом apt будет
 AC пытаться притащить все файлы с первого образа - они ж в его Packages
 AC прописаны.

Ну да, apt придётся похачить, чтобы он две штуки Packages умел: один для сверки
подписей, а второй для списка пакетов и сверки чексумм с первым.

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

На Thu, 19 Apr 2007 15:43:46 +0700
Mikhail Gusarov [EMAIL PROTECTED] записано:

 
 Twas brillig at 12:37:43 19.04.2007 UTC+04 when Artem Chuprina did
 gyre and gimble:
 
  AC Там же два уровня проверки.  Тебе понадобятся те Packages,
  AC которые были там, где подписан Release.  Т.е. Packages всего
  AC архива.  При этом apt будет пытаться притащить все файлы с
  AC первого образа - они ж в его Packages прописаны.
 
 Ну да, apt придётся похачить, чтобы он две штуки Packages умел: один
 для сверки подписей, а второй для списка пакетов и сверки чексумм с
 первым.
И заметь, в смысле секьюрности - это не надежнее, чем отключение secure
apt %)


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

В сообщении от Thursday 19 April 2007 12:43 Mikhail Gusarov написал(a):
Twas brillig at 12:37:43 19.04.2007 UTC+04 when Artem Chuprina did gyre and
gimble:

AC Там же два уровня проверки. Тебе понадобятся те Packages, которые
были AC там, где подписан Release. Т.е. Packages всего архива. При этом
apt будет AC пытаться притащить все файлы с первого образа - они ж в его
Packages AC прописаны.

Ну да, apt придётся похачить, чтобы он две штуки Packages умел: один для
сверки подписей, а второй для списка пакетов и сверки чексумм с первым.
что-то вы не туда заехали:)
Packages.gz и Packages.bz2 вообще трогать не надо, на каждом диске есть свой
Packages, его засунуть в bzip2 и все. Packages.gz уже есть.

они закрыты суммами, указанными в Release уровнем выше, эти суммы вручную
пересчитать не сложно (три типа суммы на каждый файл, всего 3 файла для трех
дисков, напоминаю - надо будет сделать только Packages.bz2)
далее Release защищен суммой в Release.gpg и md5sums.txt с корня, это тоже
пересчитывается

если я совсем идеи защиты не понял, прошу простить, глубоко не копал:)
--
С уважением,
Канашин А.В.

--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?


Twas brillig at 12:59:45 19.04.2007 UTC+04 when Alexander GQ Gerasiov did gyre 
and gimble:

  Ну да, apt придётся похачить, чтобы он две штуки Packages умел: один для
  сверки подписей, а второй для списка пакетов и сверки чексумм с первым.
  

 AGG И заметь, в смысле секьюрности - это не надежнее, чем отключение secure
 AGG apt %)

Не согласен. См. подчёркнутое.

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?


Twas brillig at 13:01:53 19.04.2007 UTC+04 when Anatoly Kanashin did gyre and 
gimble:

 AK далее Release защищен суммой в Release.gpg и md5sums.txt с корня, это тоже
 AK пересчитывается

Вот этот Release.gpg может сделать только Debian. В этом и смысл подписи
Debian'овым ключом.

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

В сообщении от Thursday 19 April 2007 13:03 Mikhail Gusarov написал(a):
 Twas brillig at 13:01:53 19.04.2007 UTC+04 when Anatoly Kanashin did gyre
 and gimble:

  AK далее Release защищен суммой в Release.gpg и md5sums.txt с корня, это
 тоже AK пересчитывается

 Вот этот Release.gpg может сделать только Debian. В этом и смысл подписи
 Debian'овым ключом.
эх... зладеи:)

тогда остается один путь: на первом диске (или на том, где место найдется) 
разместить нужные файлы (с подписями и доработанный deeplink) и инструкцию по 
сборке комплекта :)

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность Anatoly Kanashin


Twas brillig at 13:35:05 19.04.2007 UTC+04 when Victor Wagner did gyre and 
gimble:

 VW У вас в 13:01 MSK уже варкается? Насколько я помню перевод Демуровой, в это
 VW время варкаться должно в Иркутске, а не в Новосибирске.

Где-то на глобусе варкалось. Могу поправить заголовок. :)

  Вот этот Release.gpg может сделать только Debian. В этом и смысл подписи
  Debian'овым ключом.

 VW Это ещё зачем? man apt-key на тему add.  Он может быть подписан ЛЮБЫМ
 VW ключом, которому доверяет пользователь.  Например, его собственным.

Да я в курсе. Но:

 при организации зеркала где-нибудь еще...

При организации зеркала имеет смысл получить-таки репозиторий, подписанный
оригинальным Debian'овским ключом, чтобы не иметь геморроя с пропихиванием
своего ключа на все машинки (не обязательно административно принадлежащие
владельцу зеркала).

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

В сообщении от Wednesday 18 April 2007 07:38 Vladislav Naumov написал(a):
  я незнаю что с этим делать... у меня зеркало. с ним проблем нету.

 Ну и я сделал зеркало.Отсимлинкал содержимое всех DVD в кучу и положил к
 нимPackages+Release с официального зеркала.
а подробнее? ;)
конкретно отсимлинкал содержимое всех ДВД в кучу

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность rm-f




Anatoly Kanashin пишет:

В сообщении от Wednesday 18 April 2007 07:38 Vladislav Naumov написал(a):

я незнаю что с этим делать... у меня зеркало. с ним проблем нету.

Ну и я сделал зеркало.Отсимлинкал содержимое всех DVD в кучу и положил к
нимPackages+Release с официального зеркала.

а подробнее? ;)
конкретно отсимлинкал содержимое всех ДВД в кучу


+1, тоже интересно


--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность Oleg Tsymaenko

В сообщении от 18 апреля 2007 09:13 [EMAIL PROTECTED] написал(a):
 Anatoly Kanashin пишет:
  В сообщении от Wednesday 18 April 2007 07:38 Vladislav Naumov написал(a):
  я незнаю что с этим делать... у меня зеркало. с ним проблем нету.
 
  Ну и я сделал зеркало.Отсимлинкал содержимое всех DVD в кучу и положил к
  нимPackages+Release с официального зеркала.
 
  а подробнее? ;)
  конкретно отсимлинкал содержимое всех ДВД в кучу

 +1, тоже интересно

тут много чего описано и много ссылок по теме: 
http://lafox.net/support/?showtopic=4264

-- 
Oleg Tsymaenko [EMAIL PROTECTED] LA4791-RIPE; TO2-UANIC;
http://lafox.net/  -  Free Software Distribution Center;


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность Vladislav Naumov


а подробнее? ;)
конкретно отсимлинкал содержимое всех ДВД в кучу


1) Создал /mnt/dist/debian-40r0-i386
2) Сделал симлинки на все смонтированные диски (deeplink в аттаче)
 deeplink /mnt/debian-40r0-i386-DVD-3 /mnt/dist/debian-40r0-i386
 deeplink /mnt/debian-40r0-i386-DVD-2 /mnt/dist/debian-40r0-i386
 deeplink /mnt/debian-40r0-i386-DVD-1 /mnt/dist/debian-40r0-i386
3) внутри /mnt/dist/debian-40r0-i386
 перезаписал эти файлы на то, что было на ближнем зеркале Debian:
 dists/etch/main/binary-i386/Release
 dists/etch/main/binary-i386/Packages.bz2
 dists/etch/main/binary-i386/Packages.gz
 dists/etch/Release.gpg
 dists/etch/contrib/binary-i386/Release
 dists/etch/contrib/binary-i386/Packages.bz2
 dists/etch/contrib/binary-i386/Packages.gz
 dists/etch/Release

 wget http://ftp.fi.debian.org/debian/dists/etch/contrib/binary-i386/Release
 mv Release dists/etch/contrib/binary-i386/Release
 ...
 ~10 метров трафика.
4) Добавил в /etc/apt/sources.list:
 deb file:/mnt/dist/debian-40r0-i386  etch  contrib main
5) Естественно, если планируется это раздавать по ftp/http, то надо
 объяснить раздающему (apache/proftpd/что-там-у-вас), что симлинки -
 это нормально.


deeplink
Description: Binary data

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность Artem Chuprina

Vladislav Naumov - debian-russian@lists.debian.org @ Tue, 17 Apr 2007
23:49:04 +0700:

VN Здорово у нас получается - по сети с удалённого миррора ставиться
VN безопаснее чем с локальной/соседней машины с примонтированными
VN образами.

Если у тебя локальная машина untrusted - не держи на ней образы, держи
честный миррор.

VN Тут есть некоторый разбег терминологии.
VN Я считаю, что моя машина trusted.
VN А apt так не считает, и просит чью-то подпись.
VN Дебиановской у меня нет, личную ставить - чтобы самому у себя проверять?

YY Когда Debian хранится в виде .iso, то можно легко и просто записать
YY на DVD жаждущим. Если хранить в виде репозитория, то либо каждый
YY раз собирать jigdo'ой, что неудобно, либо рядом хранить .iso, что
YY не выгодно.

Если у тебя локальная машина untrusted, то это не аргумент. А если
trusted, то в чем проблемы? В неумении RTFM?

VN Эээ... Про который FM тут речь?

Про FM apt'а.

VN Вроде что нашёл всё прочитал.
VN Насчёт iso займут место - обходится собиранием репозитария из симлинков.
VN Но этот полученный репозитарий снова надо подписывать

К нему можно прикрутить штатные Packages и Release. И воспользоваться
их подписью.

--
Artem Chuprina
RFC2822: ran{}ran.pp.ru Jabber: [EMAIL PROTECTED]

русская народная глупость
Кнышев

--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-18 Пенетрантность Anatoly Kanashin

В сообщении от Wednesday 18 April 2007 10:53 Vladislav Naumov написал(a):
  а подробнее? ;)
  конкретно отсимлинкал содержимое всех ДВД в кучу

 1) Создал /mnt/dist/debian-40r0-i386
 ...
 5) Естественно, если планируется это раздавать по ftp/http, то надо
   объяснить раздающему (apache/proftpd/что-там-у-вас), что симлинки -
   это нормально.
спасибо, все работает! :)

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Artem Chuprina

Vladislav Naumov - debian-russian@lists.debian.org @ Tue, 17 Apr 2007
11:06:43 +0700:

Говорят, Release должен быть подписан Release.gpg.
Однако, ничего подобного на дисках не наблюдается.
На зеркалах - подписан, на дисках - нет.

VN http://people.debian.org/~terpstra/message/20070415.095627.a907ea14.en.html

VN ...
VN Yes, the DVD images don't include a Release.gpg file because they are
VN primarily intended to be used as local media, not as network repositories;
VN and they are generated in a process that, AIUI, does not realistically
VN permit them to be signed by a key as secure as the one used for signing the
VN stable archive. So there simply is no trust path to these CD images across
VN the network
VN ...

Если у тебя локальная машина untrusted - не держи на ней образы, держи
честный миррор.

--
Artem Chuprina
RFC2822: ran{}ran.pp.ru Jabber: [EMAIL PROTECTED]

Все события вымышлены, после чего искажены.
lj user=mcdowns

--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Anatoly Kanashin

В сообщении от Tuesday 17 April 2007 08:06 Vladislav Naumov написал(a):
  Говорят, Release должен быть подписан Release.gpg. Однако, ничего
  подобного на дисках не наблюдается. На зеркалах - подписан, на дисках -
  нет.

 http://people.debian.org/~terpstra/message/20070415.095627.a907ea14.en.html
 ..Yes, the DVD images don't include a Release.gpg file because they
 ...
 миррора ставитьсябезопаснее чем с локальной/соседней машины с 
 примонтированнымиобразами.
что будем делать, товарищ военный? (с)ДМБ

-- 
С уважением,
Канашин А.В.


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Constantine Pokrovsky

В сообщении от 17 апреля 2007 09:07 Anatoly Kanashin написал(a):
 В сообщении от Tuesday 17 April 2007 08:06 Vladislav Naumov написал(a):
   Говорят, Release должен быть подписан Release.gpg. Однако, ничего
   подобного на дисках не наблюдается. На зеркалах - подписан, на дисках
   - нет.
 
  http://people.debian.org/~terpstra/message/20070415.095627.a907ea14.en.ht
 ml ..Yes, the DVD images don't include a Release.gpg file because they ...
  миррора ставитьсябезопаснее чем с локальной/соседней машины с
  примонтированнымиобразами.

 что будем делать, товарищ военный? (с)ДМБ

 --
 С уважением,
 Канашин А.В.

Скопируем Release.gpg с зеркала, если локальный Release идентичен. Либо своим 
ключом подпишем.


pgpAaFEmP2fwR.pgp
Description: PGP signature

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Nick 'TARANTUL' Novikov


17.04.07, Yury Yurevich[EMAIL PROTECTED] написал(а):

Когда Debian хранится в виде .iso, то можно легко и просто записать на
DVD жаждущим. Если хранить в виде репозитория, то либо каждый раз собирать
jigdo'ой, что неудобно, либо рядом хранить .iso, что не выгодно.


А хранить iso, который засвечен через mount -o loop ?

--
tarantul

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Mikhail Gusarov


Twas brillig at 18:10:00 17.04.2007 UTC+04 when Иван Лох did gyre and gimble:

  Проблема в том, что official iso по мнению apt являются untrusted.

 ИЛ Так и есть. А как физический диск может быть Debian trusted?

Подпись как раз подходит для оффлайновой проверки целостности и происхождения
данных. Всё, что подписано релизным ключом, можно без проблем использовать:
подпись гарантирует, что в пути пакеты не были изменены, и что исходят они
непосредственно от Debian.

Так что соображения здесь исключительно того рода, что Debian'овцам
административно сложно собрать iso'шки и подписать их релизным ключом (что
примечательно, в Ubuntu почему-то таких административных проблем нет :)

-- 
JID: [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Oleg Tsymaenko

В сообщении от 17 апреля 2007 17:15 Mikhail Gusarov написал(a):
 Twas brillig at 18:10:00 17.04.2007 UTC+04 when Иван Лох did gyre and 
gimble:
   Проблема в том, что official iso по мнению apt являются untrusted.

  ИЛ Так и есть. А как физический диск может быть Debian trusted?

 Подпись как раз подходит для оффлайновой проверки целостности и
 происхождения данных. Всё, что подписано релизным ключом, можно без проблем
 использовать: подпись гарантирует, что в пути пакеты не были изменены, и
 что исходят они непосредственно от Debian.

 Так что соображения здесь исключительно того рода, что Debian'овцам
 административно сложно собрать iso'шки и подписать их релизным ключом (что
 примечательно, в Ubuntu почему-то таких административных проблем нет :)

я чегото не понимаю или целосность диска можно (и нужно) проврять с помощью 
md5sum и sha1sum. Разработчики  предоставляют эти суммы здесь : 
http://cdimage.debian.org/debian-cd/4.0_r0/i386/iso-dvd/


-- 
Oleg Tsymaenko [EMAIL PROTECTED] LA4791-RIPE; TO2-UANIC;
http://lafox.net/  -  Free Software Distribution Center;


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Artem Chuprina

Yury Yurevich - debian-russian@lists.debian.org  @ Tue, 17 Apr 2007 18:39:06 
+0700:

   VN Здорово у нас получается - по сети с удалённого миррора ставиться
   VN безопаснее чем с локальной/соседней машины с примонтированными
   VN образами.
  
  Если у тебя локальная машина untrusted - не держи на ней образы, держи
  честный миррор.

 YY Когда Debian хранится в виде .iso, то можно легко и просто записать
 YY на DVD жаждущим. Если хранить в виде репозитория, то либо каждый
 YY раз собирать jigdo'ой, что неудобно, либо рядом хранить .iso, что
 YY не выгодно.

Если у тебя локальная машина untrusted, то это не аргумент.  А если
trusted, то в чем проблемы?  В неумении RTFM?

-- 
Artem Chuprina
RFC2822: ran{}ran.pp.ru Jabber: [EMAIL PROTECTED]

/итд/почтопосылалка.нстрк (c)


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?


я чегото не понимаю или целосность диска можно (и нужно) проврять с помощью
md5sum и sha1sum. Разработчики  предоставляют эти суммы здесь :
http://cdimage.debian.org/debian-cd/4.0_r0/i386/iso-dvd/


Не понимаешь.
Эти суммы сошлись, образа официальные.
Не подписано содержимое образов, файлы Release.
А их проверяет apt при попытке установки пакетов. Нету = варнинг.
Следовательно, (см варианты в первом сообщении).

Re: нет Release.gpg на Etch DVD?

Если у тебя локальная машина untrusted - не держи на ней образы, держи
честный миррор.

Тут есть некоторый разбег терминологии.
Я считаю, что моя машина trusted.
А apt так не считает, и просит чью-то подпись.
Дебиановской у меня нет, личную ставить - чтобы самому у себя проверять?

Если у тебя локальная машина untrusted, то это не аргумент. А если
trusted, то в чем проблемы? В неумении RTFM?

Эээ... Про который FM тут речь?
Вроде что нашёл всё прочитал.
Насчёт iso займут место - обходится собиранием репозитария из симлинков.
Но этот полученный репозитарий снова надо подписывать

Re: нет Release.gpg на Etch DVD?


 1) Подписать своим ключом Releases. IMHO, фарс
Именно так. Это твой диск, ты его и подписывай. Себе и тому человеку,
который привез этот диск ты доверяешь? Да -- подписывай.


Диск мой, я его сам подписал - фломастером :-)
Содержимое диска - дебиановское, ни одного битика не потрогал.
И рассчитывал что оно будет создателями подписано.

Re: нет Release.gpg на Etch DVD?


Так и есть. А как физический диск может быть Debian trusted?

Ну например если на нём Release подписан Release.gpg, что гарантирует
целостность Packages, что гарантирует целостность всех пакетов на
диске.

Но вот оно почему-то не так - по вышеупомянутым административным причинам.

Re: нет Release.gpg на Etch DVD?

2007-04-17 Пенетрантность Oleg Tsymaenko

В сообщении от 17 апреля 2007 19:41 вы написали:
  я чегото не понимаю или целосность диска можно (и нужно) проврять с
  помощью md5sum и sha1sum. Разработчики  предоставляют эти суммы здесь :
  http://cdimage.debian.org/debian-cd/4.0_r0/i386/iso-dvd/

 Не понимаешь.
 Эти суммы сошлись, образа официальные.
 Не подписано содержимое образов, файлы Release.
 А их проверяет apt при попытке установки пакетов. Нету = варнинг.
 Следовательно, (см варианты в первом сообщении).

теперь понял.
я незнаю что с этим делать... у меня зеркало. с ним проблем нету.

хотя заинтересовался и нашел вот что : 
/usr/share/doc/apt/examples/configure-index.gz
.
  Authentication
  {
 TrustCDROM false;// consider the CDROM always trusted
  };
.


-- 
Oleg Tsymaenko [EMAIL PROTECTED] LA4791-RIPE; TO2-UANIC;
http://lafox.net/  -  Free Software Distribution Center;


-- 
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]

Re: нет Release.gpg на Etch DVD?