[devel] I: debuginfod.altlinux.org

[Denis Medvedev]

On 11/30/20 9:41 AM, Alexey V. Vissarionov wrote:
> On 2020-11-30 09:07:02 +0300, Vitaly Chikunov wrote:
>   >> Хотя насчет "никаких ресурсов не хватит" я, возможно, был
>   >> излишне пессимистичен: что debuginfo-пакеты, что куски их
>   >> содержимого бывают нужны пренебрежимо редко, и даже одного
>   >> сервера для них может быть вполне достаточно.
>   > Я смотрел статистику запросов по известным debuginfod серверам
>   > (на сайте elfutils он есть[0]) неделю назад.
>   > - К сожалению, основной агрегатор - debuginfod.elfutils.org
>   > перезапустили и статистика обнулилась (сейчас там сказано,
>   > что было 6150 debuginfo запросов - можно будет сравнить через
>   > неделю).
>   > - На debuginfod.opensuse.org 24 ноября было 10555 запросов к
>   > debuginfo, а сейчас (почти через неделю) 22292. То есть, у
>   > openSUSE примерно по 10000 запросов в неделю (а там один лишь
>   > Tumbleweed).
>
> В первом приближении - один запрос в минуту (в неделе 10080 минут).
>
> Это вообще ни о чем: дернули пакет, неспешно распотрошили, отдали
> файлы (еще и подписать можно успеть), и после всего этого осталось
> время поспать до следующего запроса.
>
>   >> Но подпись файла заведомо лучше любой защиты канала.
>   > ps. Кстати, если бы мы поддерживали IMA подписи в rpm, то было
>   > бы логично их добавлять в http хедерах к отдаваемым файлам и
>   > легко можно было бы их проверить на клиенте. По-моему эти
>   > подписи сейчас никто (ни один дистрибутив) не генерирует,
>   > хотя поддержка в rpm есть.
>
> Мысль интересная. Надо бы ее подумать.
>
>
В BigSur уже подумали... вой раздался на весь мир...

Думайте не только о подписывании, но и о распределении ключей

и отзыве ключей тоже. И о denial of service от отсутствия возможности 
проверки подписей.