[WLANtalk] Hallo Vorstand vom Verbund Freie Netzwerke NRW, Hallo Liste,

[Kai 'wusel' Siering]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

On 27/03/15 13:49, Maximilian Wilhelm wrote:
> Das ist ein fundametaler Unterschied. Der Autoupdater prüft nicht nur
> Checksummen, sondern auch Signaturen (wenn entsprechend sinnvoll
> konfiguriert - ich hoffe einfach mal, dass das auch alle nutzen!).
>
> D.h. dass zumindest bei uns (FFPB) drei Leute eine stable-Firmware
> signiert haben müssen, damit ein Knoten sie akzeptiert. Zusätzlich
> arbeiten wir gerade an trusted builds, um zu 100% sicherzustellen,
> das alles gut ist.

Da es doch das eigentliche Thema verläßt, nur soviel: Ja, Gluons
Autoupdater vergleicht die Signaturen unter dem Manifest, welches
die Dateien benennt, mit denen in der Firmware hinterlegten, zusätzlich
zur Prüfsumme des heruntergeladenen Paketes. Es ist schön, daß Ihr
3 Leute gefunden habt, die das dann auch noch so ernst nehmen und
einen Review der Änderungen vornehmen, bevor sie ihren persönlichen
Schlüssel zücken und damit die Fireware formell freigeben. Ich kenne
andere, startende Communities, wo man froh ist, wenn sich mehr als
ein Leut "um die Technik" kümmert. Aber im Endeffekt ändert auch die
Anzahl der Signateure nichts an meiner Aussage, daß der Knotenaufsteller
dem Firmwarebauer mit Autoupdate ein Stück weit vertrauen muß. Code
auf github o. ä. allerdings hilft da, Vertrauen zu schaffen. Wobei: wieviele
Knotenaufsteller sprechen fließend lua?

MfG,
- -kai
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2
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=/QJt
-----END PGP SIGNATURE-----