「Debian開発者が暴動の扇動やテロ支援容疑でロシア当局に逮捕される」記事へのコメント

鍵の無効化の意味

[Anonymous Coward]

無効化したのは、押収したコンピュータ(にあるであろう秘密鍵)を使って当局がプロジェクト内に侵入して好き勝手されるのを回避するのが目的のようですね。

無効化した鍵はSSH鍵じゃなくてGPG鍵の方です

[Henrich (121)]

コメントを見てると誤解されてる人が多いようなので...

パッケージをリポジトリにアップロードする際にデジタル署名するんですよ。
で、キーリングにあるGPG鍵による署名だったらパッケージをリポジトリに登録する処理をします（説明を大幅に端折ってますが）。
キーリング情報は https://anonscm.debian.org/git/keyring/keyring.git 参照。

今回は「ロシア当局が押収したGPG鍵を使って悪意のあるパッケージをリポジトリに登録する可能性があるので、それを防ぐ処置をした」ってことです。

Re:無効化した鍵はSSH鍵じゃなくてGPG鍵の方です

[Henrich (121)]

というか、記事自体がもっとちゃんと書いたほうが良いですよね、これ。

他にも、タイトルでDebian開発者って書いてるけど「Debian developer」はDebianプロジェクトで認定のプロセスを経た公式の開発者（平たく言うと @debian.org なアドレス持ってる人）で、Dmitryさんは「Debian maintainer」（幾つかのパッケージについてだけアップロード権限を与えられてる人）なので違うんですよね。

Re:

[Anonymous Coward]

こういうケースを考えると、sshの鍵認証ってわりと無力だよな。

Re:

[Anonymous Coward]

パスワード認証でもパスワードマネージャーがパソコンの中にあればって話と同じな気がする。

で、次からロシア当局はこっそり逮捕して別人を送り込んでくるんだな。

Re:

[Anonymous Coward]

大体のパスワードをブラウザに覚えさせてたら一緒だわな。

Re:

[Anonymous Coward]

こいつなんでブラウザなんか出してきたの？
理解に苦しむレベルなんだけど

Re:

[Anonymous Coward]

（こっそり教えるけど、理解できてないのは君だけだよ…）

Re:

[Anonymous Coward]

同じならssh鍵を使う価値が無いなという話

Re:

[Anonymous Coward]

実は、一年前に逮捕されていたのだ！とか。

Re:

[Anonymous Coward]

sshの鍵にはパスフレーズが設定できる(鍵をパスワードで暗号化する)。
どうせ"Enter passphrase:"って言われた時にReturn二回叩いてるから知らないんだろうけど。

Re:

[Anonymous Coward]

で、君は毎回パスフレーズを入力してるとでもいうのかね。

Re:

[Anonymous Coward]

ロシア当局がそこまでやろうとするとか、Debianはどんだけ凄いプロジェクトなんだよ

Re:

[Anonymous Coward]

Linuxディストリの中ではそれなりにユーザー多いし影響力もあるよね。

協力拒否ったから逮捕なんじゃないの？と穿った見方してます。

Re:

[Anonymous Coward]

広く使われているディストリにバックドア仕込む絶好の機会じゃないですか。
Ubuntuへの伝染も期待できるし。