Überprüfen der Integrität von Paketen oder wo ist APT 0.6?

[weizenbier]

Hallo Leute,

durch meinen Umstieg auf den Xorg Server heute,
ist mir aufgefallen, dass sich immer mehr Repositories in meine
sources.list eingeschlichen haben.Mir stellte sich dabei die Frage,
welche Gefahren ich dabei eingehe, wenn ich Pakete aus Fremdrepositories installiere.

Im Umkehrschluss habe ich mal kurz gesucht, was Debian selbst macht, um die
Integrität seiner Pakete zu schützen. Dabei ist mir aufgefallen, dass mit der aktuellen
APT Version nur MD5 Summen überprüft werden aber keine GPG Signaturen.
Siehe dazu auch: http://www.debianforum.de/forum/viewtopic.php?t=16845
Aus diesem Thread lese ich, dass dies erst ab APT 0.6 geschehen soll.
Daher meine Fragen:

Warum ist das Paket in Experimental schon in Version 0.6.25 vorhanden und immer noch nicht in SID?
Was spricht dagegen, schon jetzt das Experimental Paket zu benutzen? Funktioniert das Verifizieren der GPG Signaturen schon?
Wie gross schätzt ihr die Sicherheitsverbesserung ein?

Danke,

Weizenbier

[peschmae]

Warum ist das Paket in Experimental schon in Version 0.6.25 vorhanden und immer noch nicht in SID?

Wohl weil ein upgrade von apt eine recht heikle Sache ist. Wenn da was kaputtgeht an apt bist du nämlich etwas aufgeschmissen. Ich meine bei anderen Paketproblemen lässt du einfach ein paar apt-get -f und was weiss ich vom Stapel oder machst einfach ein upgrade wenn das Problem gefixed wurde. Aber wenn apt selber kaputt gegangen ist ists schon nicht mehr ganz so praktisch

Ich habe allerdings gemeint dass die md5sum-Files gpg-signiert sind und das die Signatur schon heute geprüft wird. Das reicht ja eigentlich.

MfG Peschmä

[weizenbier]

Hi peschmae,

das APT ein heikles Paket ist, war mir schon klar.
Mich verwundert nur, dass in SID man gerade mal bei Version 0.5.27 ist,
waehrend man in Experimental schon an 0.6.25 herumschraubt.

Ich habe allerdings gemeint dass die md5sum-Files gpg-signiert sind und das die Signatur schon heute geprüft wird. Das reicht ja eigentlich.

Wie erkenne ich das bei einem normalen apt-get upgrade? Gibt es entsprechende
Optionen fuer APT oder DPKG?

Salut,

Weizenbier

[peschmae]

Öh, nein, mist, da hab ich was durcheinander gebracht. Hatte wohl früher mal apt-get 0.6 installiert zum gucken. Das geht erst mit dem so.

MfG Peschmä