[devel] I: debuginfod.altlinux.org

[Vitaly Chikunov]

On Fri, Nov 27, 2020 at 07:10:41PM +0300, Alexey V. Vissarionov wrote:
> On 2020-11-27 18:44:38 +0300, Vitaly Chikunov wrote:
> 
>  >> И ещё вопрос: есть ли какая-то защита от MITM?
>  > Сейчас можно сделать:
>  > export DEBUGINFOD_URLS="https://debuginfod.altlinux.org/"
>  > Потом http:// для debuginfod API будет отключен, а со
>  > странички с информацией будет редирект на https.
> 
> Может, лучше подписи пакетов проверять? Один раз запускаем
> rpmsign, а потом спокойно раздаем хоть по HTTP, хоть по FTP,
> хоть вообще на забор вывешиваем...
> 
> Ибо MitM для HTTPS реален (хотя и не общедоступен) вот уже
> не первый десяток лет...

В debuginfod протоколе приезжает не весь RPM пакет, а только .debug
бинарник соответствующий build-id стрипнутого бинарника.