Tại sao việc xác thực chữ ký và thực tính lại quan trọng

English | Vietnamese

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Thảo luận hệ điều hành *nix

Tại sao việc xác thực chữ ký và thực tính lại quan trọng

[Question] Tại sao việc xác thực chữ ký và thực tính lại quan trọng	22/12/2006 14:00:04 (+0700) \| #1 \| 32100

hoclinux
Member

Joined: 22/12/2006 01:50:16
Messages: 9
Offline

Khi mình download Apache về cài đặt trên localhost, mình thấy phần Verify the integrity of the files
http://httpd.apache.org/download.cgi

Qua tìm hiểu mình thấy phải xác định chữ ký và thực tính của mã nguồn trước khi cài đặt mã nguồn thì mới "quan trọng" .

Mình cài đặt Apache nhiều lần nhưng đâu cần làm bước xác thực mã nguồn nhưng vẫn cài đặt bình thường .

Việc làm này (xác thực chữ ký và thực tính) có tác dụng như thế nào ?

#wget http://www.apache.org/dist/httpd/KEYS
#gpg --import KEYS
#gpg --verify httpd-2.2.3.tar.gz.asc
gpg: Signature made Thu 27 Jul 2006 01:35:49 PM EDT using RSA key ID 10FDE075
gpg: Good signature from "wrowe@covalent.net"
gpg: aka "William A. Rowe, Jr. <wrowe@rowe-clan.net>"
gpg: aka "wrowe@lnd.com"
gpg: aka "wrowe@apache.org"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 33 16 9B 46 FC 12 D4 01 CA 6D DB D7 DE EA 4F D7

Nhìn vào thông báo ở trên vậy mình đã xác thực được mã nguồn rồi hay chưa . Xin cho lời khuyên .

[Question] Tại sao việc xác thực chữ ký và thực tính lại quan trọng	22/12/2006 17:10:26 (+0700) \| #2 \| 32109

Mr.Khoai
Moderator

Joined: 27/06/2006 01:55:07
Messages: 954
Offline

Đã có đoạn

gpg: Signature made Thu 27 Jul 2006 01:35:49 PM EDT using RSA key ID 10FDE075
gpg: Good signature from "wrowe@covalent.net"

thì có nghĩa là hash của gói httpd đã được xác thực về mặt integrity. Tuy nhiên, signature này lại không được cung cấp bởi một "trusted third party". Để hiểu rõ hơn về PGP, signature, vân vân, bạn có thể google với keyword: pretty good privacy, asymetric encryption, digital signature.
khoai

[Question] Tại sao việc xác thực chữ ký và thực tính lại quan trọng	22/12/2006 21:17:27 (+0700) \| #3 \| 32119

hoclinux
Member

Joined: 22/12/2006 01:50:16
Messages: 9
Offline

Mr.Khoai wrote:

Đã có đoạn
gpg: Signature made Thu 27 Jul 2006 01:35:49 PM EDT using RSA key ID 10FDE075
gpg: Good signature from "wrowe@covalent.net"
thì có nghĩa là hash của gói httpd đã được xác thực về mặt integrity. Tuy nhiên, signature này lại không được cung cấp bởi một "trusted third party". Để hiểu rõ hơn về PGP, signature, vân vân, bạn có thể google với keyword: pretty good privacy, asymetric encryption, digital signature.
khoai

Thanks Mr Khoai

Tôi muốn cài đặt Apache trên server nào đó thì việc làm xác thực chữ ký trước khi biên dịch mã nguồn thì việc làm này có cần thiết hay không ? :cry: Nếu có thì tại sao nó lại cần thiết ?

[Question] Tại sao việc xác thực chữ ký và thực tính lại quan trọng	23/12/2006 05:13:32 (+0700) \| #4 \| 32236

MrSleep
HVA Friend

Joined: 21/09/2002 01:38:33
Messages: 47
Location: /home/bedroom
Offline

Bạn hoclinux nên đọc kỹ phần trả lời của Khoai thì sẽ tìm ra câu trả lời. Nếu "làm biếng" search thì bạn có thể theo link sau:

http://en.wikipedia.org/wiki/Pretty_Good_Privacy

Nói nôm na dễ hiểu thì như thề này nhé.

Bạn cũng biết là đa phần các phần mềm mã nguồn mở thì cộng đồng hay bất cứ cá nhân nào cũng đều có thể thêm/bớt và thay đổi mã nguồn vào bất cứ lúc nào. Việc kẻ xấu giả mạo mã nguồn từ nhà phát hành gốc (NPH) bằng cách thêm các đoạn mã xấu vào mã nguồn gốc rồi phát tán trên mạng như một gói chính thức của NPH sẽ gây ra những hiểm họa cho cộng đồng mã mở. Do đó việc NPH đưa ra chữ ký điện tử để người dùng xác nhận mã nguồn đó là mã nguồn gốc là một việc cực kỳ cần thiết và mang tính sống còn của cộng đồng mã mở (và cả mả đóng).

Go to:

Users currently in here
1 Anonymous