[완료]GPG 키는 위험한 것인가요?
글쓴이: dnacho / 작성시간: 수, 2007/08/15 - 2:35오전
짧은 제 경험 -
자동으로 패키지를 받을때는(전 YaST입니다) 콘솔에서 특정 url로부터 PGKey를 먼저 받고나서 패키지를 자동 설치하는데 만약에 PGKey가 없을때는 경고문이 뜹니다. 내용은 잘 모르겠지만, 제가 보기엔 상당히 높은 수준(?)의 경고문 같아서 종종 설치를 포기하기도 합니다.. 반면에 소스를 받을때는 그런 과정이 없는듯 보입니다. 아마 설치과정에 포함될것 같은데, 간단한 컴파일은 해 보았지만 설치는 아직 못해봐서 잘은 모르겠습니다. 실제로 리눅스 프로그램 관련책에서 PGKey에 대한 경험(?)을 권장한것도 같습니다. 아무래도 단순한 라이센스 어그리먼트 이상의 뭔가가 있는것 같은데 위키에서 읽어봐도 얼른 감은 안잡힙니다.
제가 알고 싶은것은!
PGKey 없이 설치를 하면 시스템의 안정성에 '실제로' 해를 주는가 하는 것입니다. 또, PGKey키는 모든 오픈소스 프로그램에 전부 내장된 것인가요? 간혹 그런거 없이 그냥 돌아가는 프로그램도 있는듯 해서(블랜더 같은 경우) 혼란스럽습니다.
Forums:
키 자체가 위험한 건 아니겠죠.
key는 해당 패키지가 신뢰할 수 있는 사람이 만들었다는 것을 뜻합니다.
즉 key는 신뢰성에 대한 보증서 역할을 합니다.
key가 없다면 혹시라도 다른 사람이 가짜 프로그램을 같은 이름의 패키지를 배포했을지도 모르는 일입니다.
-----
익명으로 쓴 글은 볼 수 없습니다.
-----
http://monpetit.posterous.com/
http://monpetit.tistory.com/
하지만 보통 배포판
하지만 보통 배포판 회사로 부터 꾸러미를 받아 설치 하는 경우, GPG를 이용해서 만들어진 PG Key나 MD5 SUM등은 파일의 무결성을 보장하기 위해 사용 됩니다. 따라서 그게 없다고 무조건 겁을 내실 필요는 없다고 생각 됩니다만... Gentoo의 경우 이런 일들을 방지하기 위해서(손상된 코드 등...) MD5, SHA1 뭐 여러가지 알고리즈(헤쉬 알고리즘)으로 SUM이 떠 진 것을 미리 가지고 잇고 이걸 기준으로 받은 파일의 헤쉬를 계산해서 비교하고 틀리면 오류를 방출하고 죽습니다.(설치시에..) 뭐 Gentoo가 거의 모든 것을 컴파일 처리 하기 때문이기도 합니다만... 음.
YaST면 SuSE를 쓰시나보군요 ㅎㅎ.
----
Lee Yeosong(이여송 사도요한)
E-Mail: yeosong@gmail.com
HomePage: http://lys.lecl.net:88/
Wiki(Read-Only): http://lys.lecl.net:88/wiki/
Blog: http://lys.lecl.net:88/blog
MSN: ysnglee2000@hotmail.com
----
절이 싫으면 중이 떠나는 것이 아니라, 절이 싫으면 중이 절을 부숴야 한다.
때때
사람천사
두 분 감사합니다.
앞으로도 noobish한 질문들 기대해주세요 -_-; (옙~수저리눅스입니다..떠 먹여줍니다_-_). 윈도우즈 잘 쓰고 있었는데 어느날 게코에 감염되 있더라는(뭘 알고 설치한건 아닙니다)..
댓글 달기