Da ja immer öfter der Wunsch kam Pakete zu signieren, werde ich damit mal anfangen.
Mitmachen kann jeder der sich entweder mit C aus kennt oder in Sachen signieren und verschlüsseln fit ist. Englisch Kenntnisse wären sinnvoll.

Ziel ist eine einfache Möglichkeit Signierte Pakete in pacman/libalpm einzubauen.

Für mich scheint die momentan einfachste Möglichkeit libalpm so anzupassen das bei jedem Paket download auch die entsprechende Signatur mit heruntergeladen wird.
Stimmen Paket und Signatur überein und ist die Unterschrift einer bekannten Person soll das Paket installiert werden.

Bisherige erste Versuche:
Mit GPG einen benutzer zum Signieren angelegt. Dieser Signiert Pakete.
Pakete und Signatur werden verifiziert.
ExitCode: 0 - Signatur passt zum Paket. Keine unterscheidung ob der Person vertraut wird
ExitCode: 1 - Signatur und Paket passen nicht zusammen.
ExitCode: 2 - Schlüssel nicht gefunden.

Man könnte jetzt automatisch wenn der ExitCode 0 ist das Paket direkt installieren. Annahme: Schlüssel die root kennt, sind vertrauenswürdig(auch wenn sie es vlt nicht sind)
Bei Exit Code 1 und 2 Warnung ausgeben. Paket löschen

Beides mal das gleiche Paket und Signatur. Aber root kennt Signman nicht 
ROOT # gpg --verify pkgs/vlc-1.0.5-3-i686.pkg.tar.gz.sig pkgs/vlc-1.0.5-3-686.pkg.tar.gz
gpg: Unterschrift vom Do 18 Feb 2010 21:25:09 CET mittels DSA-Schlüssel ID 7B06D59F
gpg: Unterschrift kann nicht geprüft werden: Öffentlicher Schlüssel nicht gefunden
ROOT # echo $?
2
USER kennt den Signman 
USER: gpg --verify pkgs/vlc-1.0.5-3-i686.pkg.tar.gz.sig pkgs/vlc-1.0.5-3-i686.pkg.tar.gz
gpg: Unterschrift vom Do 18 Feb 2010 21:25:09 CET mittels DSA-Schlüssel ID 7B06D59F
gpg: Korrekte Unterschrift von "Signman (Signman)"
USER: echo $?
0
Wer weite Ideen hat bitte hier posten.
BurnOver schriebWo ist denn das Problem wenn der Code schon vorhanden ist?
Es hat keiner Lust, das zu integrieren.
Da muss eine Menge organisiert und durchdacht werden. Die letzten 10% sind sozusagen die schwierigsten.

Wie komplett der Code ist weiß ich nicht, aber das wäre mal ein erster Schritt herauszufinden. Die richtigen Ansprechpartner findest Du dann auf pacman-dev.
Pierre schriebDa muss eine Menge organisiert und durchdacht werden. Die letzten 10% sind sozusagen die schwierigsten.
… nur angegangen werden – das müssen auch die letzten zehn Prozent. So lange das niemand macht, wird Arch Linux nur ein zu 90 Prozent fertiges Signierte-Pakete-System haben.
Dirk Sohler schrieb… nur angegangen werden – das müssen auch die letzten zehn Prozent. So lange das niemand macht, wird Arch Linux nur ein zu 90 Prozent fertiges Signierte-Pakete-System haben.
<°)))o><
stigmayta schrieb
Dirk Sohler schrieb… nur angegangen werden – das müssen auch die letzten zehn Prozent. So lange das niemand macht, wird Arch Linux nur ein zu 90 Prozent fertiges Signierte-Pakete-System haben.
<°)))o><
Ach, komm. Hör auf mit dem Quatsch. Nur weil eine Meinung dir nicht passt, soll’s getrolle sein? Es existieren Patches. Es existieren Pläne, wie es praktisch umzusetzen ist. Der einzige Grund, warum Arch bisher noch keine Signierten Pakete hat, ist, weil’s bisher noch niemand implementiert hat. Das System ist praktisch fertig, wird aber nicht genutzt. Das ist einfach so.

  • [gelöscht]

  • Beitrag Nr. 9
Die aktuellste Mail bzgl. was noch offen ist http://mailman.archlinux.org/pipermail/pacman-dev/2009-October/009965.html

Ich kopiere es mal hier rein:
So some of the next steps:
  • Get consensus on whether the script side of the signing stuff is in
a good enough state. This is basically the first 5 patches on my 'gpg'
branch. Does anyone want to raise any objections, suggestions, or have
comments?
  • Figure out where we want to move with pacman/libalpm support. I am
feeling less inclined to use gpgme, but I don't really know what the
right answer is yet. I'm hoping things from the above code will help.
  • Actually implement the signature checking code.
  • Refine the signature checking code.
  • Get a test repo set up with signed packages and databases, most
likely with something like pacman-git so we can all test it.