有没有一种方法可以对Hex包进行端到端的认证?

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了有没有一种方法可以对Hex包进行端到端的认证?相关的知识,希望对你有一定的参考价值。

我正在寻找一种方法来加密验证通过Elixir中的Hex包管理器下载的包的完整性和真实性。到目前为止我没有找到任何东西。

一些软件包管理器支持OpenPGP等数字签名系统,以确保安装在目标系统上的代码与软件包作者生成的代码完全相同,从而阻止试图改变中央数据存储上数据的攻击,这些数据包含数千个软件包。

对于Elixir和Erlang的流行包管理器,Hex是否有任何形式的支持?

答案

Hex目前不支持用户签名的包。一些不同的软件包管理器已经尝试实现用户签名,但没有一个是完全成功的,因为它很容易使用,所有发布者都需要签署他们的软件包,所有消费者都需要验证签名的真实性。

信任网(类似PGP)的方法是有问题的,因为你必须建立一个信任网络,这是一个很高的进入门槛 - 你必须亲自见到其他开发人员或者以某种方式让他们验证你是谁,这样他们就可以签署你的发布第一个包之前的关键?

集中信任(类似X.509)方法也存在问题。如果中央存储库Hex.pm颁发证书,那么妥协Hex.pm也会破坏用户签名的包,这是我们试图阻止的。

我们已经制作了proposals for signing packages,我们已经评估了other approaches并且正在关注和参与ongoing discussions如何解决这个问题。

即使Hex不支持用户签名的包,我们也会做其他事情来验证包的真实性。包内容经过校验和,并包含在package tarball中并存储在服务器上。用户构建程序包时会打印程序包校验和,并且可以根据存储库中的程序包进行验证。校验和包含在由Hex.pm private key签名的存储库索引中。根据索引中的校验和验证下载的软件包,如果软件包已锁定,则还会根据锁中的校验和进行验证。

以上是关于有没有一种方法可以对Hex包进行端到端的认证?的主要内容,如果未能解决你的问题,请参考以下文章

论文阅读一种端到端的对抗生成式视频数字水印算法

端到端E2E

论文解读LaneNet 基于实体分割的端到端车道线检测

论文解读LaneNet 基于实体分割的端到端车道线检测

数通基础——从一个PC端到另一个PC端的地址识别和转发过程

数通基础——从一个PC端到另一个PC端的地址识别和转发过程